CodeSec di Contrast Security

CodeSec offre:

• Lo scanner SAST più veloce e accurato.
• Risultati immediati e utilizzabili: analizza codice e ambienti serverless.
• Un processo di accesso fluido e senza attriti con account GitHub o Google. Dall'inizio alla fine in pochi minuti.
• Eseguendo una scansione sulle tue funzioni lambda puoi individuare: vulnerabilità di gestione di identità e accessi (IAM) con privilegio minimo (policy eccessivamente permissive) e relative remediation.

Installazione

NPM:

npm install --location=global @contrast/contrast

Homebrew:

brew tap contrastsecurity/tap

brew install contrast

Binari:

1. Vai su https://pkg.contrastsecurity.com/ui/repos/tree/General/cli

2. Seleziona il tuo sistema operativo nella cartella cli e scarica il pacchetto.

3. Devi consentire i permessi di esecuzione sul file a seconda del tuo sistema operativo.

Autenticazione

Autenticati digitando contrast auth nel terminale.

Nella finestra del browser che si apre, accedi e autenticati con le tue credenziali GitHub o Google.

Esegui una scansione

Scansione SAST

Requisiti

Assicurati di avere i tipi di file corretti da analizzare.

• Carica un file .jar o .war per analizzare un progetto Java
• Carica un file .js o .zip per analizzare un progetto JavaScript
• Carica un file .exe o .zip per analizzare un progetto .NET c# web forms

Avvia la scansione

Usa il comando di scansione Contrast contrast scan

Scansione delle funzioni Lambda

Requisiti

• Attualmente supporta funzioni Java e Python su AWS. Configura le credenziali AWS nel tuo ambiente locale eseguendo i comandi con le tue credenziali:

export AWS_DEFAULT_REGION=<YOUR_AWS_REGION>
export AWS_ACCESS_KEY_ID=<YOUR_ACCESS_KEY_ID>
export AWS_SECRET_ACCESS_KEY=<YOUR_SECRET_ACCESS_KEY>

• Le credenziali AWS devono essere disponibili nella tua configurazione locale (di solito ~/.aws/credentials). Puoi eseguire una scansione lambda con il tuo aws-profile passando --profile. Puoi anche esportare credenziali diverse.

• Questi permessi sono necessari per raccogliere tutte le informazioni richieste su una AWS Lambda per usare il comando contrast lambda:

  • Lambda: GetFunction | GetLayerVersion
  • IAM: GetRolePolicy | GetPolicy | GetPolicyVersion | ListRolePolicies | ListAttachedRolePolicies

Avvia la scansione

Usa contrast lambda per analizzare le tue funzioni AWS Lambda. contrast lambda --function-name MyFunctionName --region my-aws-region

Comandi di Contrast

auth

Autentica Contrast usando il tuo account GitHub o Google. Si aprirà una nuova finestra del browser per l'accesso.

Utilizzo: contrast auth

config

Mostra le credenziali salvate.

Utilizzo: contrast config

Opzioni:

• -c, --clear - Rimuove le credenziali salvate.

scan

Esegue una scansione di sicurezza SAST.

Utilizzo: contrast scan [option]

Opzioni:

• contrast scan --file

  • Percorso del file che vuoi analizzare. Contrast cerca un file .jar, .war, .js o .zip nella directory di lavoro se non viene specificato un file.
  • Alias: --f

• contrast scan --name

  • Nome del progetto Contrast. Se non specificato, Contrast usa contrast.settings per identificare il progetto oppure crea un progetto.
  • Alias: –n

• contrast scan --save

  • Scarica i risultati in un file in formato Static Analysis Results Interchange Format (SARIF). Il file viene scaricato nella directory di lavoro corrente con il nome predefinito results.sarif. Puoi visualizzare il file con qualsiasi editor di testo.
  • Alias: -s

• contrast scan --timeout

  • Tempo in secondi di attesa per il completamento della scansione. Il valore predefinito è 300 secondi.
  • Alias: -t

lambda

Nome della funzione AWS lambda da analizzare.

Utilizzo: contrast lambda --function-name

Opzioni:

• contrast lambda --function-name --endpoint-url Override dell'endpoint AWS. Simile alla CLI AWS. Alias: -e

• contrast lambda --function-name --region Override della regione. Il valore predefinito è AWS_DEFAULT_REGION. Simile alla CLI AWS. Alias: -r

• contrast lambda --function-name --profile Override del profilo di configurazione AWS. Simile alla CLI AWS. Alias: -p

• contrast lambda --function-name --json Restituisce la risposta in JSON (invece del formato leggibile predefinito). Alias: -j

• contrast lambda -–function-name -–verbose Restituisce informazioni estese al terminale. Alias: -v

• contrast lambda -–function-name --list-functions Elenca tutte le funzioni lambda disponibili da analizzare.

• contrast lambda --function-name -–help Mostra la guida all'uso. Alias: -h

help

Mostra la guida all'uso. Per visualizzare l'help dettagliato di qualsiasi comando CLI, aggiungi il flag -h o --help al comando. Utilizzo: contrast scan --help Alias: -h

version

Mostra la versione della CLI Contrast. Utilizzo: contrast version Alias: -v, --version