AuraBorealis: Pythonパッケージの中身を知っていますか？

概要

AuraBorealisは、Pythonパッケージレジストリ内の異常で潜在的に悪意のあるコードを可視化するためのウェブアプリケーションです。Pythonパッケージの大規模セキュリティ監査向けに設計された静的解析ツールAuraを使ってPython Package Index (PyPI)をスキャンして生成されたセキュリティ監査データを利用します。現在のツールは概念実証段階であり、一部の実Auraデータとデモ用のモックアップデータを含んでいます。

現在の機能は次のとおりです：

• Pythonパッケージレジストリ全体をスキャンし、以下のことが可能：
  • Aura警告タイプでソートされたセキュリティ警告数が最も多いパッケージを一覧表示
  • 警告の総数とユニーク数でソートされたパッケージを一覧表示
  • 全体的な重大度スコアでパッケージを一覧表示
• 個別パッケージのセキュリティ警告を重要度順に表示
• 特定のパッケージでセキュリティ警告を生成しているファイルの行番号とコード行を可視化
• 2つのパッケージのセキュリティ警告を比較

手順

VPNをオンにしてください（IQT内）

リポジトリをクローンします。

git clone https://github.com/IQTLabs/AuraBorealisApp.git

aura-borealis-flask-appディレクトリに移動します。

cd aura-borealis-flask-app

依存関係をインストールします。

pip install -r requirements.txt

アプリを実行します。

python app.py

ブラウザでURL http://0.0.0.0:7000/ にアクセスします。

機能ロードマップ

• パッケージを、同様の目的を持つパッケージのベンチマークプロファイルとセキュリティ警告で比較
• 同じパッケージの異なるバージョンのセキュリティ警告を比較
• 2つの日付の間で警告や重大度スコアに変更があったパッケージを一覧表示
• PyPI上で公開されていない内部パッケージ/レジストリをスキャンする機能
• 権限の分析を表示（このパッケージはネットワーク接続を行いますか？このパッケージはOSレベルのライブラリ権限を必要としますか？）

連絡先情報

[email protected]（John Speed Meyers、IQT Labs、Secure Code Reuseプロジェクトリーダー）

Auraの主任開発者兼作成者は、sourcecode.aiのMartin Carnoguskyです。

関連作品

• IQTブログ記事：secure code reuse
• IQTブログ記事：typosquatting および pypi-scanによるタイポスクワッティング防止
• USENIX記事："Counting Broken Links: A Quant's View of Software Supply Chain Security"
• IQTオープンソースデータセット：既知のソフトウェアサプライチェーン侵害について