Cartero

Cartero è ora un CLI in Go con un database workspace integrato senza configurazione, invece del vecchio runtime dipendente da MongoDB.

L'implementazione attuale fornisce:

• un'esperienza terminale rifinita tramite Cobra e Lip Gloss
• un'interfaccia web amministrativa locale e pagine di test sicure tramite cartero serve
• comandi di validazione e anteprima delle campagne sicuri per default
• un archivio workspace SQLite integrato in .cartero/cartero.sqlite
• plugin first-party per seeding di template, importazione di cloni, sincronizzazione del pubblico, esportazione di analisi e registrazione delle interazioni
• importazione normalizzata di risultati da CSV, JSON, SARIF e JSONL
• migrazione unidirezionale dall'esportazione legacy Mongo al workspace corrente
• test unitari, CLI e di conformità con un workflow di smoke test
• pacchettizzazione riproducibile con GoReleaser, Docker e GitHub Actions

Modello workspace

Cartero mantiene lo stato locale all'interno del workspace attivo:

• .cartero/cartero.sqlite: archivio di stato SQLite integrato
• plugins/: manifest dei plugin sincronizzati
• drafts/: bozze di campagne generate da messaggi revisionati
• exports/: esportazioni di analisi

Non è necessario installare o gestire database esterni. I workspace basati su Bolt esistenti vengono migrati automaticamente in SQLite al primo avvio.

Avvio rapido

make bootstrap
make build

./dist/cartero --plain workspace init
./dist/cartero init campaign.yaml
./dist/cartero --plain validate -f campaign.yaml
./dist/cartero --plain preview -f campaign.yaml
./dist/cartero serve --addr 127.0.0.1:8080
./dist/cartero --plain template list
./dist/cartero --plain finding list
./dist/cartero --plain plugin list

Esegui da una directory annidata o da una sessione shell esterna con --root /path/to/workspace per forzare la risoluzione del workspace.

Comandi

cartero workspace init       Avvia il workspace integrato
cartero workspace status     Mostra i conteggi del database e del workspace
cartero init                 Scrivi un file campagna iniziale
cartero preview              Genera una panoramica stilata della prontezza e salva un'istantanea
cartero validate             Verifica una definizione di campagna e salva un'istantanea
cartero serve                Avvia l'interfaccia web amministrativa locale e le pagine di test sicure
cartero template list        Esplora la libreria di template seedata
cartero template show        Ispeziona un template in dettaglio
cartero audience import      Importa un segmento CSV nel workspace
cartero audience list        Elenca i membri del pubblico archiviati
cartero import clone         Converte un messaggio revisionato in una bozza di campagna sicura
cartero finding import       Normalizza risultati esterni nel workspace
cartero finding list         Elenca i risultati importati
cartero migrate mongo-export Importa file di esportazione legacy Mongo in SQLite
cartero event record         Registra telemetria di interazione
cartero event list           Elenca eventi di interazione archiviati
cartero report export        Esporta le analisi del workspace in JSON o CSV
cartero plugin list          Mostra i manifest dei plugin installati
cartero plugin sync          Sincronizza i manifest dei plugin integrati e i dati seed dei template
cartero doctor               Ispeziona la salute del workspace locale
cartero version              Stampa i metadati di build

Plugin integrati

Il repository include questi plugin first-party:

• local-preview
• template-library
• clone-importer
• analytics-export
• audience-sync
• engagement-recorder

I loro manifest si trovano in plugins/ e il loro contratto è documentato in PLUGIN.md.

Modello campagna

Le campagne sono file YAML che descrivono un piano di esercitazione di sensibilizzazione. Cartero ne valida la struttura e applica i controlli di sicurezza locali:

• capture_credentials deve rimanere false
• allow_external_links deve rimanere false
• è richiesta l'approvazione del manager per esercitazioni classificate come rischio high

Inizia da configs/campaign.example.yaml.

Risultati e migrazione

Cartero può correlare l'output di scanner esterni con lo stesso workspace locale utilizzato per campagne ed eventi:

./dist/cartero --plain finding import --file scans/nuclei.jsonl --source nightly-nuclei
./dist/cartero --plain finding list --tool nuclei
./dist/cartero --plain migrate mongo-export --path legacy-export

Il percorso di migrazione legacy importa vecchi file di esportazione Mongo per persone e hit, e converte gli artefatti di credenziali legacy in risultati oscurati invece di trasportare i valori grezzi inviati.

Sviluppo

make fmt
make vet
make test
make smoke

La CI viene eseguita su push e pull request tramite ci.yml. I rilasci taggati vengono pacchettizzati da release.yml usando .goreleaser.yaml.