Dependency Combobulator

Dependency Combobulatorは、依存関係の混乱による漏洩や潜在的な攻撃を検出・防止するためのオープンソースでモジュール式かつ拡張可能なフレームワークです。これにより、異なるソース（例：GitHub Packages、JFrog Artifactory）や多くのパッケージ管理方式（例：npm、maven）に対して評価可能な、安全なアプリケーションリリースを確保するための総合的なアプローチを促進します。

対象読者

このフレームワークは、セキュリティ監査担当者、ペネトレーションテスターが使用できるほか、企業のアプリケーションセキュリティプログラムやリリースサイクルに自動的に組み込むことも可能です。

主な機能

• プラグイン可能 - SDLCのコミットレベル、ビルド、リリースステップに介入可能。
• 拡張可能 - 独自のパッケージ管理方式や任意のコードソースを簡単に追加可能
• 汎用ヒューリスティックエンジン - 抽象的なパッケージデータモデルが非依存のヒューリスティックアプローチを提供
• 幅広い技術をサポート
• 柔軟性 - ツールキットが提供する洞察や判定に基づいて決定木を決定可能

簡単に拡張可能

このプロジェクトは、実践者が自身の具体的なニーズに合わせてツールキットを拡張・適合させる能力を重視しています。そのため、他のソース、パブリックレジストリ、パッケージ管理方式への拡張や、抽象モデルと付随するヒューリスティックエンジンの拡張が可能な設計となっています。

インストール

Dependency Combobulatorはそのまま使用可能です - git clone するか、https://github.com/apiiro/combobulator からパッケージをダウンロードしてください。

必要な依存関係をインストールするには、以下を実行してください：

pip install -r requirements.txt

引数 (--help)

  -h, --help            show this help message and exit
  -t {npm,maven}, --type {npm,maven}
                        Package Manager Type, i.e: npm, maven
  -l LIST_FROM_FILE, --load_list LIST_FROM_FILE
                        Load list of dependencies from a file
  -d FROM_SRC, --directory FROM_SRC
                        Extract dependencies from local source repository
  -p--package SINGLE    Name a single package.
  -c CSV, --csv CSV     Export packages properties onto CSV file
  -gh GITHUB_TOKEN, --github GITHUB_TOKEN
                        GitHub Access Token (Overrides .env file setting)
  -a {compare,comp,heuristics,heur}, --analysis {compare,comp,heuristics,heur}
                        Required analysis level - compare (comp), heuristics
                        (heur) (default: compare)

Apiiro <Heart> Community

サポートされているパッケージタイプ (-t, --t): npm, maven

サポートされているソース依存関係評価：

• 依存関係識別子を1行ずつ含むファイルから。(-l, --load_list)
• 適切なリポジトリのソフトウェア部品表（例：package.json, pom.xml）を分析することにより。(-d, --directory)
• 単一の識別子を指定する (-p, --package)

分析レベルはカスタマイズ可能で、数秒で好みの分析プロファイルを構築できます。Dependency Combobulatorには最初からいくつかの分析レベルが用意されており、-a, --analysis で選択できます。

サポートされている出力形式：

• 画面標準出力（デフォルト）
• 指定されたファイルへのCSVエクスポート -(-CSV)

使用例

https://user-images.githubusercontent.com/90651458/140915800-c267034b-90c9-42d1-b12a-83e12f70d44e.mp4

クレジット

このプロジェクトはApiiroによって💜と共にメンテナンス・スポンサーされています。

変化への情熱を持つ素晴らしい開発者とAppSec実践者に敬意を表します🙏