SAMMY Open Source v2

Questo repository ospita la versione open source di SAMMY - lo strumento OWASP SAMM.

https://owasp.org/www-project-open-sammy/

Licenza

Questo progetto è concesso in licenza secondo i termini della Creative Commons Attribution-ShareAlike 4.0 International License. Consulta il file LICENSE per i dettagli.

SAMMY v2

• La configurazione include un utente predefinito inserito nel database:
  • nome utente: [email protected]
  • password: admin
  • chiave MFA: AB4FHDUHYVGW7IAB (aggiungi questa chiave alla tua app di autenticazione manualmente)

Come eseguirlo senza Docker

Requisiti

• MySQL o MariaDB
• Redis (solo se vuoi eseguirlo in APP_ENV=prod)
• php8.2+
• composer

Opzionale

• Symfony CLI (https://symfony.com/download)

Come eseguirlo

1. Crea un file .env.local con la tua configurazione locale. Esempio con MariaDB:
   • in caso di altro database, qui puoi trovare la stringa di connessione corretta - https://www.doctrine-project.org/projects/doctrine-dbal/en/latest/reference/configuration.html#connecting-using-a-url

DATABASE_URL=mysql://root:[email protected]:3306/sammy?serverVersion=11.3.2-MariaDB
REDIS_HOST=127.0.0.1
REDIS_PORT=6379
APP_ENV=dev
APP_DEBUG=1

2. installa ed esegui

composer install
./scripts/setup_database.sh
# if you have symfony cli
symfony server:start --allow-http
# else
php -S 0.0.0.0:8000 -t ./public
open http://127.0.0.1:8000

Come eseguirlo con Docker

# 1. start DB and Redis
docker compose up -d db redis
# 2. now we can start our application
docker compose up -d --build app
# 3. sync SAMM model. Note, this step syncs the SAMM model from the core GitHub repo. You only have to run this the very first time and upon every SAMM model update.
docker compose exec app ./scripts/sync_samm.sh
# 4. sync DSOMM model. Note, this step syncs the DSOMM model from the core GitHub repo. You only have to run this the very first time and upon every DSOMM model update.
docker compose exec app ./scripts/sync_dsomm.sh
# 5. Enjoy
open http://127.0.0.1:8000

Invio di email

• Se vuoi utilizzare la funzione di invio email devi aggiungere quanto segue al tuo file .env.local o compose.yaml. Tutti i campi sono obbligatori. Inoltre, il server dovrebbe utilizzare SSL appropriato per impostazione predefinita.
  • per .env.lcoal
    root@kitploit:~

      PHPMAILER_SMTP_HOST=
      PHPMAILER_SMTP_PORT=
      PHPMAILER_SMTP_USERNAME=
      PHPMAILER_SMTP_PASSWORD=
      PHPMAILER_SMTP_DEFAULT_SENDER=
      PHPMAILER_SMTP_USE_AUTH=
      PHPMAILER_SMTP_DEFAULT_ENCRYPTION=
      PHPMAILER_SMTP_AUTO_TLS=
    

    • per compose.yaml nella sezione app sotto environment
    root@kitploit:~

    - PHPMAILER_SMTP_HOST=
    - PHPMAILER_SMTP_PORT=
    - PHPMAILER_SMTP_USERNAME=
    - PHPMAILER_SMTP_PASSWORD=
    - PHPMAILER_SMTP_DEFAULT_SENDER=
    - PHPMAILER_SMTP_USE_AUTH=
    - PHPMAILER_SMTP_DEFAULT_ENCRYPTION=
    

• Se stai usando Docker non devi fare altro. C'è un cronjob che viene eseguito ogni 2 minuti.
• Se lo stai eseguendo in locale devi eseguire manualmente il seguente comando:

php ./bin/console app:process-mailing

Supporto DSOMM

Supportiamo le valutazioni per il modello DSOMM. Per impostazione predefinita avrai il modello DSOMM nel tuo database con tutto il necessario. Se lo desideri, puoi importare una variante DSOMM personalizzata. Ad esempio, puoi avere un modello con più/meno domini e pratiche. Puoi avere più varianti DSOMM contemporaneamente.

php ./bin/console app:sync-from-dsomm --source="path/to/dsomm-file.yaml"

Opzionalmente puoi passare l'ID del metamodello se desideri eseguire aggiornamenti a una variante DSOMM esistente

php ./bin/console app:sync-from-dsomm --source="path/to/dsomm-file.yaml" --metamodel=33

Prevediamo un singolo file YAML con tutti i dati strutturati come di seguito. Per impostazione predefinita utilizzeremo questo file https://github.com/devsecopsmaturitymodel/DevSecOps-MaturityModel-data/blob/main/src/assets/YAML/generated/generated.yaml