Engagement Manager

Engagement Manager è un'applicazione web per il monitoraggio delle attività di sicurezza offensiva. Presenta un'interfaccia utente moderna, costruita con Next.js, Prisma e PostgreSQL. L'app include un calendario, attività, clienti, contatti, risultati e operatori.

• Lee Baird @discoverscripts
• Jay "L1ghtn1ng" Townsend @jay_townsend1

Screenshots

Indice

• Screenshots
• Scrittura dei risultati e produzione di report PDF
  • Sicurezza del reporting e deployment
  • Verifica
• Prerequisiti
• Configurazione dell'ambiente
• Configurazione del database
  • Sviluppo
  • Produzione
• Installazione
  • Configurazione automatizzata (Ubuntu)
    • Note di aggiornamento per configurazione hardened e backup
  • Configurazione manuale
• Esecuzione dell'applicazione
• Deployment in produzione
  • Requisiti
  • Passaggi di deploy
  • Checklist di produzione
• Credenziali predefinite
• Migrazione del server (Backup / Ripristino / Reset)
• Piano di implementazione e architettura
  • Stack tecnologico
  • Schema del database
  • Aggiunta di nuovi campi
  • Architettura di sicurezza

Scrittura dei risultati e produzione di report PDF

• Area di lavoro per la scrittura: apri il link Write & review di un risultato per la modifica Markdown e un'anteprima sicura. Le bozze private vengono salvate dopo 15 secondi di inattività o su richiesta; sono memorizzate sul server, non nella memoria locale del browser. Recupera esplicitamente una bozza dopo la riapertura. I salvataggi in conflitto preservano il testo dell'editor e richiedono il confronto con la revisione corrente. Le revisioni del testo possono essere ispezionate e ripristinate; il ripristino non ripristina le prove eliminate.
• Template riutilizzabili: cerca la formulazione approvata per titolo, categoria o gravità. Gli utenti possono proporre template; gli amministratori li curano e li approvano. L'applicazione di un template crea un risultato di engagement indipendente con osservazioni vuote, host interessati e prove, prevenendo il riutilizzo accidentale delle prove di un altro engagement.
• Prove: carica o incolla fino a quattro immagini PNG/JPEG insieme, aggiungi didascalie e modifica didascalia/ordine nell'area di lavoro per la scrittura. Le immagini vengono decodificate, private dei metadati, ridimensionate a un massimo di 2000 × 2000 pixel e salvate come PNG. Conserva separatamente le prove forensi originali se sono richiesti i byte o i metadati originali.
• Revisione: invia i risultati completi da Draft/Changes Requested a Ready. Un revisore assegnato o un amministratore, diverso dall'autore corrente, può approvare o richiedere modifiche. Gli amministratori assegnano i revisori. Le modifiche a testo, prove e revisioni ripristinate annullano l'approvazione. La coda di revisione, i commenti, la checklist di preparazione e la cronologia delle revisioni supportano il passaggio di consegne.
• Report PDF: scegli un engagement in Reports, scrivi il suo riepilogo esecutivo, seleziona/ordina i risultati e salva le impostazioni. Le bozze PDF sono contrassegnate visibilmente. Solo gli amministratori possono emettere un PDF finale, e ogni risultato selezionato deve essere approvato e superare i controlli di preparazione. Ogni versione emessa memorizza il suo PDF, uno snapshot esplicito del contenuto e un digest SHA-256; le modifiche successive non lo rigenerano. L'eliminazione dell'engagement padre elimina comunque i suoi report attraverso il ciclo di vita esistente.
• Importazioni da scanner: visualizza in anteprima un export, seleziona i risultati, quindi conferma. Le importazioni non eseguono mai scansioni né contattano i target. Il fingerprinting lato server salta i risultati corrispondenti nello stesso engagement; tutti i nuovi record iniziano come Draft e devono essere verificati da un operatore.

Famiglia scanner/export	Export accettato
Burp Suite	Issues XML, incluso il DTD dello schema interno inerte
Nessus / Tenable	Nessus v2 XML (.nessus)
Nmap	XML; le porte aperte e il loro output degli script diventano osservazioni informative, non vulnerabilità dedotte
OpenVAS / Greenbone	Report XML nativo o GMP get_reports_response
OWASP ZAP	Report JSON tradizionale con siti e avvisi
Nuclei	JSON Lines (-jsonl)
Qualys	XML dei risultati di scansione (struttura SCAN/IP), non il formato separato dell'API di rilevamento host
Semgrep / CodeQL e altri produttori SARIF	Esecuzioni, regole e risultati SARIF JSON

Gli export sono limitati a 2 MB e 500 risultati per importazione, con limiti di frequenza per utente per anteprima e conferma. L'applicazione accetta al massimo 10.000 risultati in totale e 500 per un singolo engagement tra creazione manuale, template e importazioni da scanner. L'elenco globale Findings carica 100 righe per pagina, e le query dei risultati di engagement/report sono limitate dallo stesso limite per engagement. I layout sconosciuti falliscono visibilmente invece di essere trattati silenziosamente come un'importazione riuscita. Le gravità degli scanner sono suggerimenti: rivedi il loro contesto prima dell'approvazione. Gli URL referenziati, l'HTML e le immagini remote incorporate non vengono recuperati né eseguiti.

I report consentono 1–100 risultati, fino a 100 immagini di prove (5 MB ciascuna, 20 MB di input totale), 500 pagine e 25 MB di output. L'emissione è limitata a 50 versioni per engagement e 1 GB di PDF emessi in tutta l'applicazione. L'anteprima e l'emissione hanno limiti di frequenza per utente, e viene ammesso un solo rendering PDF per processo applicativo alla volta. I risultati conservano al massimo 1000 revisioni e 500 commenti; il raggiungimento di un limite fallisce senza sovrascrivere la cronologia. I font DejaVu e la loro licenza di ridistribuzione sono inclusi in assets/fonts; i deployment devono conservare queste risorse (il tracing dell'output di Next le include).

Le Server Actions di Next.js condividono un unico limite di dimensione del corpo di 25mb (impostato in next.config.ts) per i caricamenti delle prove. Il login utilizza una route dedicata same-origin con codifica URL e un limite di streaming di 4 KB prima dell'autenticazione o delle operazioni sul database.

Sicurezza del reporting e deployment