OWASP - FACTION ペネトレーションテストレポート生成・コラボレーションフレームワーク

GitHub last commit GitHub Release Date - Published_At

Faction は OWASP プロジェクトになりました！詳細はこちらをご覧ください

スポンサー

プレミアムスポンサー

otto-js - PCIおよびクライアントサイドセキュリティ

Secninjaz Technologies LLP

スポンサーになる ❤️

このプロジェクトを気に入っていただき、発展させたいとお考えなら、スポンサーになることをご検討ください。すべてのスポンサーは Faction Discord サーバーへのアクセス権を得られ、バグレポートが優先的に扱われます。このリポジトリ上部のスポンサーリンクをクリックするか、info[at]factionsecurity.com までご連絡ください。

コミュニティ、参加方法、更新情報

OWASP Slack コミュニティに参加し、#project-faction をフォローしてください！BlueSky とブログでも最新情報をチェックしてください。

コントリビューション

プルリクエストを検討・提出される前に、コントリビューションガイドラインをご覧ください。

はじめに

FACTION は、すべてのアセスメントワークフローを1つのボックスにまとめたものです。FACTION を使用すると、以下のことができます。

ペネトレーションテストとセキュリティアセスメントレポートの自動化
レポートのピアレビューと変更履歴の追跡
異なるアセスメントタイプや再テスト用のカスタム DOCX テンプレートの作成
Web アプリとBurp Suite 拡張機能を介したアセスメント担当者とのリアルタイムコラボレーション
75以上あらかじめ用意されたカスタマイズ可能な脆弱性テンプレート
アセスメントチームの管理と組織全体の進捗追跡を容易に
カスタム SLA 警告とアラートによる脆弱性修復作業の追跡
他のツールと連携するための完全な REST API

その他の機能:

LDAP 統合
OAUTH2.0 統合
SMTP 統合
Burp Extender と同様のカスタムプラグインで拡張可能
カスタムレポート変数

実際の動作を見たいですか？ -> Faction YouTube チャンネル

クイックセットアップ

要件

Java JDK11
Maven (プロジェクトのビルド用)
(VMの場合はオプション)。Mongo DB は AVX 対応の CPU が必要です。Oracle Virtual Box や Kubernetes を使用している場合、この問題に直面する可能性があります。

以下のコマンドを実行して war ファイルをビルドし、Docker コンテナにデプロイします。

git clone [email protected]:factionsecurity/faction.git
cd faction
docker-compose up --build

コンテナが起動したら、http://127.0.0.1:8080 にアクセスして FACTION インスタンスにアクセスできます。初回起動時には管理者アカウントの作成を求められます。

脆弱性テンプレートのインポート

テンプレート -> デフォルト脆弱性に移動
Faction から更新をクリック

レポートのカスタマイズ

独自のカスタムレポートテンプレートの作成方法の詳細は、こちらをご覧ください: カスタムセキュリティレポートテンプレート - Faction Security

Burp Suite 拡張機能

Burp Suite Extensions

マニュアルとチュートリアル

Manual

自分でホストしたくないですか？

インスタンスのホスティングを提供できます。すべてのインスタンスはシングルテナントであるため、信頼できないパーティとインフラを共有する心配はありません。詳細は https://www.factionsecurity.com をご覧ください。

スクリーンショット

脆弱性テンプレート

アセスメントスケジューリング

ピアレビューと変更履歴

修復/再テストキュー

再テストのスケジュール

アセスメント担当者再テストインターフェース

脆弱性ステータス追跡

1.2 リリースアップデート

Faction 1.2 では App Store が導入されました！Faction App Store により、開発者は Faction をより簡単に拡張できるようになります。Faction 拡張機能は、ワークフロー内で特定のイベントが発生したときにカスタムコードをトリガーするために使用できます。例えば、アセスメント完了時にすべての脆弱性を Jira に送信したり、再テストの合格・不合格時にトラッキングシステムを更新したりできます。詳細はドキュメントサイトをご覧ください。

⭐️ Jira 統合と AppStore ダッシュボード

注: 拡張機能の順序を変更できるため、1つの更新が次の更新に影響を与える可能性があります。

⭐️ カスタムグラフィックのための拡張機能

拡張機能を使用すると、レポートにカスタム棒グラフを追加することもできます:

グラフィック付きで生成されたレポート:

faction v1.8.13

カテゴリ