[📖 ドキュメント][docs]

Chain-benchは、新しい CIS Software Supply Chain benchmark に基づいて、ソフトウェアサプライチェーン全体のセキュリティコンプライアンスを監査するためのオープンソースツールです。 監査はSDLCプロセス全体に焦点を当て、コード作成時からデプロイ時までのリスクを明らかにします。ハッカーとの競争に勝ち、機密データと顧客の信頼を守るには、コードが組織のポリシーに準拠していることを確認する必要があります。

詳しくは [Chain-bench ドキュメント][docs] をご覧ください。

目次

• 目次
• はじめに
• クイックスタート
  • インストール
  • 使用方法
    • Dockerを使う
    • GitHub Actionsを使う
    • GitLab CIを使う（ベータ版）
• 要件
• 対応プロバイダ
• 注意事項
• コントリビューション
• ロードマップ

はじめに

Chain-benchは、新しい CIS Software Supply Chain benchmark に基づいて、ソフトウェアサプライチェーン全体のセキュリティコンプライアンスを監査するためのオープンソースツールです。 監査はSDLCプロセス全体に焦点を当て、コード作成時からデプロイ時までのリスクを明らかにします。

クイックスタート

Chain-benchを実行する主な方法は、スタンドアロンのCLIとしてです。SCMにアクセスするには、アカウントのアクセストークンとリポジトリのURLが必要です。

インストール

お好みのインストール方法でChain-benchを入手してください。詳細については、ドキュメントの[インストール]のセクションを参照してください。例：

• brew install chain-bench
• nix-env --install -A nixpkgs.chain-bench
• docker run aquasec/chain-bench
• https://github.com/aquasecurity/chain-bench/releases/latest/ からバイナリをダウンロード

使用方法

chain-bench scan --repository-url <REPOSITORY_URL> --access-token <TOKEN> -o <OUTPUT_PATH>

セルフホストまたは専用SCMプラットフォーム（カスタムドメイン）を使う場合

chain-bench scan --repository-url <REPOSITORY_URL> --scm-platform <SCM_PLATFORM> --access-token <TOKEN> -o <OUTPUT_PATH>

scm-platformでサポートされているオプションは、"github"と"gitlab"（ベータ版）です。

Dockerを使う

docker run aquasec/chain-bench scan --repository-url <REPOSITORY_URL> --access-token <TOKEN>

GitHub Actionsを使う

リポジトリ https://github.com/aquasecurity/chain-bench-action を参照してください。

出力例