Jackhammer:

Uno strumento di valutazione/gestione delle vulnerabilità di sicurezza per risolvere tutti i problemi del team di sicurezza.

Cos'è Jackhammer?

Jackhammer è uno strumento di collaborazione creato con l'obiettivo di colmare il divario tra il team di sicurezza e il team di sviluppo, il team QA e di essere un facilitatore per il TPM per comprendere e monitorare la qualità del codice che va in produzione. Può eseguire analisi statiche e dinamiche del codice con una capacità integrata di gestione delle vulnerabilità. Trova vulnerabilità di sicurezza nelle applicazioni target e aiuta i team di sicurezza a gestire il caos in questa nuova era di integrazione continua e distribuzioni continue/multiple.

Funziona completamente su RBAC (Controllo degli Accessi Basato sui Ruoli). Ci sono dashboard interessanti per le scansioni individuali e di squadra che offrono ampia flessibilità per collaborare con diversi team. È costruito interamente su un'architettura modulare che può essere integrata con qualsiasi strumento open source/commerciale.

Jackhammer utilizza il progetto OWASP pipeline per eseguire molteplici strumenti open source e commerciali contro il tuo codice, app web, app mobile, cms (wordpress), rete.

Caratteristiche principali:

Fornisce un'interfaccia unificata per collaborare sui risultati
La scansione (codice) può essere eseguita per tutti i repository di gestione del codice
Pianificazione delle scansioni basata su intervalli # giornaliera, settimanale, mensile
Filtraggio avanzato dei falsi positivi
Pubblicare le vulnerabilità nei sistemi di tracciamento dei bug
Tenere traccia delle statistiche e delle tendenze delle vulnerabilità nelle tue applicazioni
Si integra con la maggior parte degli strumenti di scansione open source e commerciali
Gestione di utenti e ruoli che offre un maggiore controllo
Livelli di gravità configurabili sull'elenco dei risultati nelle applicazioni
Progressione dello stato delle vulnerabilità integrata
Filtri facili da usare per revisionare set mirati da tonnellate di vulnerabilità
Scansione asincrona (tramite sidekiq) che scala
Gestione delle vulnerabilità senza soluzione di continuità
Monitorare le statistiche e rappresentare graficamente le tendenze di sicurezza nelle tue applicazioni
Si integra facilmente con una varietà di strumenti di scansione open source, commerciali e personalizzati

Scanner di vulnerabilità supportati:

Analisi statica:

* licenza richiesta ** licenza commerciale richiesta

Trovare segreti/token/credenziali hardcoded:

Trufflehog (Leggermente modificato/esteso per migliori risultati e integrazione a partire da maggio 2017)

App Web:

Arachni

App Mobile:

Androbugs (Leggermente modificato/esteso per migliori risultati e integrazione a partire da maggio 2017)
Androguard (Leggermente modificato/esteso per migliori risultati e integrazione a partire da maggio 2017)

Wordpress:

WPScan (Leggermente modificato/esteso per migliori risultati e integrazione a partire da maggio 2017)

Rete:

Nmap

Aggiungere scanner personalizzati (altri open source/commerciali/personali):

Puoi aggiungere qualsiasi scanner a jackhammer in 10-30 minuti. Consulta i link/video

Avvio rapido e installazione

Consulta la nostra [Guida all'avvio rapido/installazione][] se vuoi provare Jackhammer il più rapidamente possibile usando Docker Compose.

Esegui i seguenti comandi per l'installazione locale (modalità aziendale):

 git clone https://github.com/olacabs/jackhammer
 sh ./docker-build.sh

Credenziali predefinite per l'installazione locale:

username: [email protected]

password: j4ckh4mm3r

(Per la modalità utente singolo)

sh ./docker-build.sh SingleUser

registrati per l'accesso

Riavviare Jackhammer

docker-compose stop
docker-compose rm
docker-compose up -d

Guida per l'utente

La [Guida per l'utente][] ti darà una panoramica su come utilizzare Jackhammer una volta che tutto è attivo e funzionante.

Demo

Link all'ambiente demo:

https://jch.olacabs.com/

Credenziali predefinite: