apiiro/combobulatorFramework modulare per rilevare e prevenire attacchi di confusione delle dipendenze analizzando i manifest dei pacchetti attraverso molteplici fonti e schemi di gestione dei pacchetti, con un motore euristico pluggabile per l'integrazione con SDLC.
Dependency Combobulator è un framework open-source, modulare ed estensibile per rilevare e prevenire la confusione delle dipendenze e potenziali attacchi. Ciò facilita un approccio olistico per garantire rilasci sicuri delle applicazioni, che possono essere valutati rispetto a diverse fonti (ad es. GitHub Packages, JFrog Artifactory) e molti schemi di gestione dei pacchetti (ad es. npm, maven).
Il framework può essere utilizzato da auditor di sicurezza, pentester e persino integrato in modo automatico nel programma di sicurezza delle applicazioni e nel ciclo di rilascio di un'azienda.
Il progetto mette l'accento sulla capacità del professionista di estendere e adattare il toolkit alle proprie esigenze specifiche. Pertanto, è progettato per poter essere esteso ad altre fonti, registri pubblici, schemi di gestione dei pacchetti e per estendere il modello astratto e il motore euristico associato.
Dependency Combobulator è pronto per funzionare così com'è - basta git clone o scaricare il pacchetto da https://github.com/apiiro/combobulator
Assicurati di installare le dipendenze necessarie eseguendo:
pip install -r requirements.txt
-h, --help show this help message and exit
-t {npm,maven}, --type {npm,maven}
Package Manager Type, i.e: npm, maven
-l LIST_FROM_FILE, --load_list LIST_FROM_FILE
Load list of dependencies from a file
-d FROM_SRC, --directory FROM_SRC
Extract dependencies from local source repository
-p--package SINGLE Name a single package.
-c CSV, --csv CSV Export packages properties onto CSV file
-gh GITHUB_TOKEN, --github GITHUB_TOKEN
GitHub Access Token (Overrides .env file setting)
-a {compare,comp,heuristics,heur}, --analysis {compare,comp,heuristics,heur}
Required analysis level - compare (comp), heuristics
(heur) (default: compare)
Apiiro <Heart> Community
Tipi di pacchetto supportati (-t, --t): npm, maven
Valutazione delle dipendenze dalla fonte supportata:
Il livello di analisi è personalizzabile poiché puoi creare il tuo profilo di analisi preferito in pochi secondi. Dependency Combobulator viene fornito con diversi livelli di analisi predefiniti, selezionabili con -a, --analysis
Formato di output supportato:
Il progetto è mantenuto e sponsorizzato da Apiiro con 💜
Onoriamo grandi sviluppatori e professionisti AppSec con passione per il cambiamento 🙏