legitify

https://user-images.githubusercontent.com/107790206/210602039-2d022692-87ea-4005-b9c6-f091158de3ce.mov

インストール

インストール方法はいくつかあります：

• macOS（またはLinux）で Homebrew を使用する場合：

• 最新の legitify リリースを https://github.com/Legit-Labs/legitify/releases からダウンロードすることもできます。各アーカイブには以下が含まれています：

  • 対象プラットフォーム用の Legitify バイナリ
  • Legit Security が提供するビルトインポリシー

• ソースから以下の手順でインストール：

• GitHub CLI 拡張機能として（詳細は https://github.com/Legit-Labs/gh-legitify をご確認ください）

CI - Legitify カスタム GitHub Action

Legitify カスタム GitHub Actions を使用して、CI プロセスの一部として legitify を実行できます：

追加のパラメーターと設定については、アクションファイルをご確認ください。

来歴証明（Provenance）

legitify ユーザーのソフトウェアサプライチェーンセキュリティを強化するために、v0.1.6 以降、すべての legitify リリースには SLSA Level 3 Provenance ドキュメントが含まれています。
この来歴証明ドキュメントは、リリース内のすべてのアーティファクトと生成された Docker イメージを対象としています。
SLSA フレームワークの公式検証ツールを使用して、来歴証明を検証できます。
v0.1.6 リリースの darwin_arm64 アーキテクチャでの使用例：

コマンド

analyze

デフォルトでは、legitify はすべてのリソース（組織、リポジトリ、メンバー、アクション）に対してポリシーをチェックします。アーカイブされたリポジトリはスキップされます。

コマンドラインフラグ namespace と org を使用して、分析対象のリソースを制御できます：

• --namespace (-n)：指定されたリソースに関連するポリシーを分析します
• --org：分析を指定された GitHub Organization または GitLab グループに限定し、アーカイブされたリポジトリは除外します
• --repo：分析を指定された GitHub リポジトリまたは GitLab プロジェクトに限定します
• --scm：ソースコード管理プラットフォームを指定します。指定可能な値：github または gitlab。デフォルトは github です。GitLab で実行する場合は --scm gitlab が必要です。
• --enterprise：分析するエンタープライズを指定します。エンタープライズを分析するには、エンタープライズスラッグを指定する必要があります。

上記のコマンドは、組織ポリシーとメンバーポリシーを org1 と org2 に対してテストします。

gpt-analysis

提供されたリポジトリまたは組織のセキュリティ態勢を GPT-3 ベースで分析します。

注：リポジトリ/組織のメタデータは openai サーバーに送信されます。

フラグ：

• --org：分析を指定された GitHub Organization または GitLab グループに限定します
• --repo：分析を指定された GitHub リポジトリまたは GitLab プロジェクトに限定します
• --scm：ソースコード管理プラットフォームを指定します。指定可能な値：github または gitlab。デフォルトは github です。
• --token：SCM 用のトークン（または SCM_TOKEN 環境変数を設定）
• --openai-token：OpenAI API 用のトークン（または OPENAI_TOKEN 環境変数を設定）

--org または --repo のいずれか、または両方を指定する必要があります。

OpenAI トークンの生成：

1. https://beta.openai.com/signup にアクセスして OpenAI アカウントを作成します
2. https://platform.openai.com/account/api-keys で「Create new secret key」を押します

GitHub Action の使用法

ワークフロー内で legitify を GitHub Action として実行することもできます。具体的な例については action_examples ディレクトリを参照してください。

要件

GitHub（クラウドおよび Enterprise Server）

1. legitify を最大限に活用するには、少なくとも 1 つの GitHub Organization のオーナーである必要があります。そうでない場合でも、Organization 内の少なくとも 1 つのリポジトリの管理者であればツールを使用でき、その場合はリポジトリ関連のポリシー結果のみを表示できます。
2. legitify はリソースを正常に分析するために GitHub 個人アクセストークン（PAT）を必要とします。これは引数（-t）または環境変数（SCM_TOKEN）として指定できます。 完全な分析には PAT に以下のスコープが必要です：

詳細については「個人アクセストークンの作成」を参照してください。
ファイングレイン個人アクセストークンは現在サポートされていません。

GitHub Enterprise Server

環境変数 SERVER_URL でエンドポイント URL を設定することで、GitHub Enterprise Server インスタンスに対して legitify を実行できます：

GitLab Cloud/Server

1. 前のセクションで述べたように、少なくとも 1 つの GitLab グループのオーナーである必要があります。そうでない場合でも、グループ内の少なくとも 1 つのプロジェクトの管理者であればツールを使用でき、その場合はプロジェクト関連のポリシー結果のみを表示できます。
2. legitify はリソースを正常に分析するために GitLab 個人アクセストークン（PAT）を必要とします。これは引数（-t）または環境変数（SCM_TOKEN）として指定できます。 PAT には完全な分析のために以下のスコープが必要です： read_api, read_user, read_repository, read_registry 詳細については「個人アクセストークンの作成」を参照してください。
   GitLab Cloud に対して legitify を実行するには、scm フラグを gitlab に設定します --scm gitlab。GitLab Server に対して実行するには、SERVER_URL も指定する必要があります：

注 1: サーバー証明書を無視するには、ignore-invalid-certificate フラグを渡してください。

注 2: プレミアム以外の GitLab アカウントでは、一部のポリシー（ブランチ保護ポリシーなど）はスキップされます。

名前空間

legitify における名前空間は、収集されてポリシーに対して実行されるリソースです。 現在、以下の名前空間がサポートされています：

1. organization - GitHub Organization（または GitLab グループ）レベルのポリシー（例：「Organization に二要素認証が強制されていない」）
2. actions - Organization の GitHub Actions ポリシー（例：「GitHub Actions の実行が検証済みアクションに制限されていない」）
3. member - コントリビューターレベルのポリシー（例：「古い管理者が見つかりました」）
4. repository - GitHub リポジトリ（または GitLab プロジェクト）レベルのポリシー（例：「少なくとも 2 人のレビュアーによるコードレビューが強制されていない」）。注：--repo 引数で直接指定されない限り、アーカイブされたリポジトリは無視されます。
5. runner_group - ランナーグループのポリシー（例：「ランナーがパブリックリポジトリで使用可能」）

デフォルトでは、legitify はすべての名前空間を分析します。--namespace フラグで選択した名前空間のみに制限できます。その場合は、選択した名前空間をカンマ区切りで指定します。

出力オプション

デフォルトでは、legitify は人間が読める形式で結果を出力します。 これには、重要度ごとにリストされたポリシー違反の一覧と、名前空間ごとにソートされたサマリーテーブルが含まれます。

出力形式

--output-format (-f) フラグを使用すると、legitify は以下の形式で結果を出力できます：

1. human-readable - 人間が読めるテキスト（デフォルト）。
2. json - 標準 JSON。
3. sarif - SARIF 形式（情報）。

出力スキーム

--output-scheme フラグを使用すると、legitify は異なるグループ化スキームで結果を出力できます。 注：デフォルト以外のスキームを出力するには、--output-format=json を指定する必要があります。

1. flattened - グループ化なし。ポリシーをフラットに列挙し、それぞれに違反を表示します（デフォルト）。
2. group-by-namespace - ポリシーを名前空間ごとにグループ化します。
3. group-by-resource - ポリシーをリソース（特定の Organization/リポジトリなど）ごとにグループ化します。
4. group-by-severity - ポリシーを重要度ごとにグループ化します。

出力先

• --output-file - 出力ファイルのフルパス（デフォルト：出力ファイルなし、stdout に出力）。
• --error-file - エラーログのフルパス（デフォルト：./error.log）。

色付け

人間が読める形式で出力する場合、legitify は従来の --color[=when] フラグをサポートしており、以下のオプションがあります：

• auto - stdout がターミナルであれば色付き出力、それ以外は色なし（デフォルト）。
• always - 出力先に関係なく色付き出力。
• none - 出力先に関係なく色なし出力。

その他

• --failed-only フラグを使用すると、合格/スキップされたチェックを結果から除外します。
• --ignore-policies-path $PATH を使用して、無視したいポリシーをファイルで指定し、特定のポリシーをスキップできます。 1 行に 1 ポリシー。例： no_conversation_resolution requires_status_checks ─╯

Scorecard サポート - GitHub サーバー/クラウドリポジトリのみ

Scorecard は OSSF のオープンソースプロジェクトです：

Scorecards は、ソフトウェアセキュリティに関連する多数の重要なヒューリスティック（「チェック」）を評価し、各チェックに 0～10 のスコアを割り当てる自動化ツールです。これらのスコアを使用して、プロジェクトのセキュリティ態勢を強化するために改善すべき具体的な領域を理解できます。また、依存関係がもたらすリスクを評価し、これらのリスクを受け入れるか、代替ソリューションを評価するか、またはメンテナーと協力して改善を行うかについて、情報に基づいた決定を下すことができます。

legitify は、組織のすべてのリポジトリに対して scorecard を実行し、スコアポリシーを適用して、--scorecard フラグを使用して結果を表示することをサポートしています：

• no - scorecard を実行しない（デフォルト）。
• yes - scorecard を実行し、各リポジトリのスコアが 7.0 未満の場合に警告するポリシーを適用します。
• verbose - scorecard を実行し、各リポジトリのスコアが 7.0 未満の場合に警告するポリシーを適用し、その出力を legitify の出力に埋め込みます。

legitify は以下の scorecard チェックを実行します：

ポリシー

legitify には、policies/ ディレクトリに各 SCM 向けの一連のポリシーが付属しています。

これらのポリシーはこちらで文書化されています。

コントリビューション

Legitify へのコントリビューションをご検討いただきありがとうございます！あらゆる種類のコントリビューションを奨励し、感謝しています。 開始に役立つリソースをいくつか紹介します：

• コントリビューションガイド
• 行動規範
• Issue を開く
• プルリクエストを開く

サポート

legitify に関するご質問や操作上のサポートが必要な場合は、お気軽にお問い合わせください。私たちのチームはサポートを提供し、スムーズな体験を保証することに努めています。

Legitify と Legit Security プラットフォームの比較

Legitify をお気に入りいただけたなら、Legit Security プラットフォームもきっと気に入っていただけるでしょう！

• 環境全体で Legitify チェックを自動化し、より多くのシステムを発見し、すべての結果をシンプルな Web アプリで表示して大規模に管理できます。
• Legit Security は、アプリケーションセキュリティをエンドツーエンドでカバーするアプリケーションセキュリティポスチャ管理（ASPM）とともに、完全な CI/CD セキュリティソリューションを提供します。
• これは SaaS プラットフォームであり、エンジニアリング、DevOps、セキュリティチーム向けに構築され、世界中の多くの大手組織から信頼されています。

以下は Legitify と Legit の機能比較表です：

Legit をチェックするには、ウェブサイトにアクセスするか、直接デモを予約してください。