zupit/horusecHorusec è uno strumento open source che migliora l'identificazione delle vulnerabilità nel tuo progetto con un solo comando.
2.1. Prerequisiti
2.2. Installazione
3.1. Utilizzo tramite CLI
3.2. Utilizzo tramite Docker
3.3. Versioni precedenti
3.4. Utilizzo dell'applicazione Web Horusec
3.5. Utilizzo tramite Visual Studio Code
Horusec è uno strumento open source che esegue un'analisi statica del codice per identificare falle di sicurezza durante il processo di sviluppo. Attualmente, i linguaggi analizzati sono C#, Java, Kotlin, Python, Ruby, Golang, Terraform, Javascript, Typescript, Kubernetes, PHP, C, HTML, JSON, Dart, Elixir, Shell, Nginx. Lo strumento offre opzioni per cercare fughe di chiavi e falle di sicurezza in tutti i file del tuo progetto, oltre che nella cronologia Git. Horusec può essere utilizzato dallo sviluppatore tramite CLI e dal team DevSecOps su piattaforme CI/CD.
Consulta la nostra Documentazione: troverai l'elenco completo degli strumenti e dei linguaggi analizzati da Horusec.
Devi avere Docker installato sulla tua macchina per eseguire Horusec con tutti gli strumenti che utilizziamo.
Se non hai Docker, abbiamo una flag -D true che disabiliterà la dipendenza, ma ridurrà notevolmente la potenza di analisi.
Raccomandiamo di usarlo con Docker.
Se abiliti gli autori dei commit -G true, è necessaria anche la dipendenza da git.
make install
oppure
curl -fsSL https://raw.githubusercontent.com/ZupIT/horusec/master/deployments/scripts/install.sh | bash -s latest
horusec version
amd64
curl -k "https://github.com/ZupIT/horusec/releases/latest/download/horusec_win_amd64.exe" -o "./horusec.exe" -L
arm64
curl -k "https://github.com/ZupIT/horusec/releases/latest/download/horusec_win_arm64.exe" -o "./horusec.exe" -L
./horusec.exe version
Puoi trovare tutti i binari con le versioni nella nostra pagina delle release.
Per maggiori dettagli sull'installazione, consulta la documentazione
Per utilizzare horusec-cli e verificare le vulnerabilità dell'applicazione, utilizza il seguente comando:
horusec start -p .
Quando horusec avvia un'analisi, crea una cartella chiamata
.horusec. Questa cartella è la base per non modificare il tuo codice. Ti consigliamo di aggiungere la riga.horusecal tuo file.gitignorein modo che questa cartella non debba essere inviata al tuo server git.
È possibile utilizzare Horusec tramite un'immagine docker horuszup/horusec-cli:latest.
Esegui il seguente comando:
docker run -v /var/run/docker.sock:/var/run/docker.sock -v $(pwd):/src horuszup/horusec-cli:latest horusec start -p /src -P $(pwd)
-v $(pwd):/src.Con l'immagine docker abbiamo due percorsi in cui il progetto può essere trovato.
La flag -p rappresenta il percorso del progetto all'interno del contenitore, nel nostro esempio /src.
La flag -P rappresenta il progetto all'esterno del contenitore, nel nostro esempio è rappresentata da $(pwd),
sarà inoltre necessario passare il percorso del progetto per montare il volume -v $(pwd):/src.
La v1 di Horusec è ancora disponibile.
AVVISO: L'endpoint con v1 sarà deprecato, aggiorna la tua CLI alla v2. Per maggiori dettagli, consulta la documentazione.
curl -fsSL https://horusec.io/bin/install.sh | bash -s latest
curl "https://horusec.io/bin/latest/win_x64/horusec.exe" -o "./horusec.exe" && ./horusec.exe version
v1.10.3.Gestisci le tue vulnerabilità tramite la nostra interfaccia web. Puoi avere una dashboard di metriche sulle tue vulnerabilità, controllo dei falsi positivi, token di autorizzazione, aggiornamento delle vulnerabilità e molto altro. Consulta la sezione applicazione web per continuare a leggere.
Guarda l'esempio seguente, che invia un'analisi ai servizi web Horusec:
horusec start -p <PERCORSO_DEL_TUO_PROGETTO> -a <TUO_TOKEN_DI_AUTORIZZAZIONE>
Consulta il tutorial su come creare un token di autorizzazione tramite Horusec Manager Web Service.
AVVISO: I nostri servizi web sono stati spostati in un nuovo repository. Devi passare alla v2, consulta come migrare da v1 a v2.
Puoi analizzare il tuo progetto utilizzando l'estensione di Visual Studio Code di Horusec. Per maggiori informazioni, consulta la documentazione.
Puoi eseguire un'analisi del tuo progetto prima di rilasciare il deployment nel tuo ambiente, garantendo la massima sicurezza nella tua organizzazione. Per maggiori informazioni, consulta la documentazione:
Vedi sotto:
Puoi trovare la documentazione di Horusec sul nostro sito web.
Abbiamo una roadmap del progetto, puoi contribuire con noi!
Horusec ha altri repository, dai un'occhiata:
Sentiti libero di utilizzare, consigliare miglioramenti o contribuire con nuove implementazioni.
Consulta la nostra guida ai contributi per conoscere il nostro processo di sviluppo, come suggerire correzioni di bug e miglioramenti.
Questo è un livello di sicurezza per il progetto e per gli sviluppatori. È obbligatorio.
Segui uno di questi due metodi per aggiungere il DCO ai tuoi commit:
1. Riga di comando Segui i passaggi: Passaggio 1: Configura il tuo ambiente git locale aggiungendo lo stesso nome e indirizzo email configurati nel tuo account GitHub. Aiuta a firmare manualmente i commit durante revisioni e suggerimenti.
git config --global user.name “Nome”
git config --global user.email “[email protected]”
Passaggio 2: Aggiungi la riga Signed-off-by con la flag '-s' nel comando git commit:
$ git commit -s -m "Questo è il mio messaggio di commit"
2. Sito web di GitHub
Puoi anche firmare manualmente i tuoi commit durante le revisioni e i suggerimenti di GitHub, segui i passaggi seguenti:
Passaggio 1: Quando si apre la casella delle modifiche del commit, digita o incolla manualmente la tua firma nella casella dei commenti, vedi l'esempio:
Signed-off-by: Nome < indirizzo email >
Per questo metodo, il tuo nome e la tua email devono essere gli stessi registrati nel tuo account GitHub.
Segui il Codice di condotta in tutte le tue interazioni con il nostro progetto.
Sentiti libero di contattarci:
Questo progetto esiste grazie a tutti i contributori. Siete fantastici! ❤️ 🚀