Contrast Security の CodeSec

CodeSec の特長：

• 最速かつ最も正確な SAST スキャナー。
• 即座に得られる実用的な結果 — コードとサーバーレス環境をスキャンできます。
• GitHub または Google アカウントによる、摩擦のないシームレスなサインインプロセス。開始から完了まで数分です。
• Lambda 関数をスキャンすると、最小権限の ID およびアクセス管理（IAM）の脆弱性（過度に寛容なポリシー）とその修復方法を見つけることができます。

インストール

NPM:

npm install --location=global @contrast/contrast

Homebrew:

brew tap contrastsecurity/tap

brew install contrast

バイナリ：

1. https://pkg.contrastsecurity.com/ui/repos/tree/General/cli に移動します。

2. cli フォルダーでお使いのオペレーティングシステムを選択し、パッケージをダウンロードします。

3. OS に応じて、ファイルに実行権限を付与する必要があります。

認証

ターミナルで contrast auth と入力して認証します。

表示されたブラウザウィンドウで、GitHub または Google の資格情報を使用してログインし、認証します。

スキャンの実行

SAST スキャン

必要条件

スキャンするファイルの種類が正しいことを確認してください。

• Java プロジェクトを解析用にスキャンするには、.jar または .war ファイルをアップロードします
• JavaScript プロジェクトを解析用にスキャンするには、.js または .zip ファイルをアップロードします
• .NET c# web forms プロジェクトをスキャンするには、.exe. または .zip ファイルをアップロードします

スキャンを開始

Contrast のスキャンコマンド contrast scan を使用します。

Lambda 関数スキャン

必要条件

• 現在、AWS 上の Java および Python 関数をサポートしています。 お使いの資格情報を指定して以下のコマンドを実行し、ローカル環境に AWS 資格情報を設定します：

export AWS_DEFAULT_REGION=<YOUR_AWS_REGION>
export AWS_ACCESS_KEY_ID=<YOUR_ACCESS_KEY_ID>
export AWS_SECRET_ACCESS_KEY=<YOUR_SECRET_ACCESS_KEY>

• AWS 資格情報はローカルの設定（通常は ~/.aws/credentials）で利用できる必要があります。aws-profile を使用して lambda スキャンを実行し、--profile を渡すこともできます。別の資格情報をエクスポートすることもできます。

• AWS Lambda に関する必要な情報をすべて収集して contrast lambda コマンドを使用するには、以下の権限が必要です：

  • Lambda: GetFunction | GetLayerVersion
  • IAM: GetRolePolicy | GetPolicy | GetPolicyVersion | ListRolePolicies | ListAttachedRolePolicies

スキャンを開始

contrast lambda を使用して AWS Lambda 関数をスキャンします。 contrast lambda --function-name MyFunctionName --region my-aws-region

Contrast コマンド

auth

GitHub または Google アカウントを使用して Contrast を認証します。ログイン用に新しいブラウザウィンドウが開きます。

使用法： contrast auth

config

保存されている資格情報を表示します。

使用法： contrast config

オプション：

• -c, --clear - 保存されている資格情報を削除します。

scan

セキュリティ SAST スキャンを実行します。

使用法： contrast scan [option]

オプション：

• contrast scan --file

  • スキャンするファイルのパス。ファイルが指定されていない場合、Contrast は作業ディレクトリ内で .jar、.war、.js. または .zip ファイルを検索します。
  • エイリアス：--f

• contrast scan --name

  • Contrast プロジェクト名。指定されていない場合、Contrast は contrast.settings を使用してプロジェクトを識別するか、プロジェクトを作成します。
  • エイリアス：–n

• contrast scan --save

  • 結果を Static Analysis Results Interchange Format（SARIF）ファイルにダウンロードします。ファイルはデフォルト名の results.sarif で現在の作業ディレクトリにダウンロードされます。ファイルは任意のテキストエディタで表示できます。
  • エイリアス：-s

• contrast scan --timeout

  • スキャンの完了を待機する秒数。デフォルト値は 300 秒です。
  • エイリアス：-t

lambda

スキャンする AWS Lambda 関数の名前。

使用法： contrast lambda --function-name

オプション：

• contrast lambda --function-name --endpoint-url AWS エンドポイントの上書き。AWS CLI と同様です。 エイリアス：-e

• contrast lambda --function-name --region リージョンの上書き。デフォルトは AWS_DEFAULT_REGION です。AWS CLI と同様です。 エイリアス：-r

• contrast lambda --function-name --profile AWS 設定プロファイルの上書き。AWS CLI と同様です。 エイリアス：-p

• contrast lambda --function-name --json 応答を JSON で返します（デフォルトの人間が読める形式ではなく）。 エイリアス：-j

• contrast lambda -–function-name -–verbose 拡張情報をターミナルに返します。 エイリアス：-v

• contrast lambda -–function-name --list-functions スキャン可能なすべての Lambda 関数を一覧表示します。

• contrast lambda --function-name -–help 使用ガイドを表示します。 エイリアス：-h

help

使用ガイドを表示します。任意の CLI コマンドの詳細なヘルプを表示するには、コマンドに -h または --help フラグを追加します。 使用法： contrast scan --help エイリアス：-h

version

Contrast CLI のバージョンを表示します。 使用法： contrast version エイリアス：-v、--version