Jackhammer:

セキュリティ脆弱性の評価・管理を一手に行うツールで、セキュリティチームのあらゆる問題を解決します。

Jackhammerとは？

Jackhammerは、セキュリティチームと開発チーム、QAチームの間のギャップを埋め、TPMが本番環境に投入されるコードの品質を理解・追跡するためのファシリテーターとなることを目的に構築されたコラボレーションツールです。静的コード解析と動的解析を実行でき、脆弱性管理機能を内蔵しています。対象アプリケーションのセキュリティ脆弱性を検出し、継続的インテグレーションや継続的/複数デプロイメントが当たり前となった新時代において、セキュリティチームが混乱を管理するのを支援します。

完全にRBAC（ロールベースアクセス制御）で動作します。個人スキャンとチームスキャン用のクールなダッシュボードがあり、異なるチームとのコラボレーションに十分な柔軟性を提供します。完全にプラグイン可能なアーキテクチャで構築されており、あらゆるオープンソース/商用ツールと統合できます。

JackhammerはOWASPパイプラインプロジェクトを使用して、コード、Webアプリ、モバイルアプリ、CMS（Wordpress）、ネットワークに対して複数のオープンソースおよび商用ツールを実行します。

主な機能:

発見事項の共同作業のための統一インターフェースを提供
すべてのコード管理リポジトリに対してコードスキャンを実行可能
日次、週次、月次など間隔に基づくスキャンのスケジューリング
高度な誤検知フィルタリング
バグトラッキングシステムへの脆弱性公開
アプリケーションの統計情報と脆弱性トレンドを監視
大多数のオープンソースおよび商用スキャンツールと統合
ユーザーとロールの管理による高い制御性
アプリケーション全体の発見事項に対する構成可能な重要度レベル
組み込みの脆弱性ステータス進行管理
大量の脆弱性の中から対象セットをレビューするための使いやすいフィルター
非同期スキャン（Sidekiq経由）によるスケーラビリティ
シームレスな脆弱性管理
アプリケーションの統計情報とセキュリティトレンドのグラフ化
さまざまなオープンソース、商用、カスタムスキャンツールとの容易な統合

サポートされている脆弱性スキャナー:

静的解析:

* ライセンスが必要 ** 商用ライセンスが必要

ハードコードされたシークレット/トークン/認証情報の発見:

Trufflehog（2017年5月時点で結果改善と統合のため若干修正・拡張）

Webアプリ:

Arachni

モバイルアプリ:

Androbugs（2017年5月時点で結果改善と統合のため若干修正・拡張）
Androguard（2017年5月時点で結果改善と統合のため若干修正・拡張）

Wordpress:

WPScan（2017年5月時点で結果改善と統合のため若干修正・拡張）

ネットワーク:

Nmap

カスタム（その他のオープンソース/商用/個人製）スキャナーの追加:

Jackhammerに任意のスキャナーを10～30分で追加できます。リンク・動画を確認してください。

クイックスタートとインストール

Docker Composeを使って可能な限り迅速にJackhammerを試すには、[クイックスタート/インストールガイド][]を参照してください。

ローカルセットアップ（企業モード）のコマンドを実行:

 git clone https://github.com/olacabs/jackhammer
 sh ./docker-build.sh

ローカルセットアップのデフォルト認証情報:

username: [email protected]

password: j4ckh4mm3r

（シングルユーザーモードの場合）

sh ./docker-build.sh SingleUser

アクセスするにはサインアップしてください。

Jackhammerの再起動

docker-compose stop
docker-compose rm
docker-compose up -d

ユーザーガイド

[ユーザーガイド][]では、セットアップ後にJackhammerを使用する方法の概要を説明しています。

デモ

デモ環境リンク:

https://jch.olacabs.com/

デフォルト認証情報: