ostorlab/oxoモジュール式のセキュリティスキャンオーケストレーターで、ネットワーク、Webアプリ、モバイルアプリ、API全体で脆弱性検出、偵察、フィンガープリンティングを行う専門エージェントを組み合わせます。
ローカルでスキャンを実行するには Docker が必要です。Docker をインストールするには、こちらの 手順に従ってください。
OXO は PyPI 上の Python パッケージとして提供されています。インストールするには、pip がすでに
インストールされている場合、次のコマンドを実行するだけです。
pip install -U ostorlab
OXO には、Nmap、Nuclei、Tsunami などのネットワークスキャンエージェント、ZAP などの Web スキャナー、WhatWeb や Wappalyzer などの Web フィンガープリンティングツール、Subfinder や Dnsx などの DNS ブルートフォースツール、VirusTotal などのマルウェアファイルスキャンなど、数十のエージェントを誇るストアが付属しています。
これらのツールを組み合わせて実行するには、次のコマンドを実行するだけです:
OXO CLI は
oxoまたはostorlabコマンドを使用してアクセスできます。
oxo scan run --install --agent agent/ostorlab/nmap --agent agent/ostorlab/tsunami --agent agent/ostorlab/nuclei ip 8.8.8.8
このコマンドは、以下のスキャンエージェントをダウンロードしてインストールします:
そして、ターゲット IP アドレス 8.8.8.8 をスキャンします。
エージェントは標準の Docker イメージとして提供されます。
スキャンのステータスを確認するには、次を実行します:
oxo scan list
スキャンが完了したら、スキャン結果にアクセスするには、次を実行します:
oxo vulnz list --scan-id <scan-id>
oxo vulnz describe --vuln-id <vuln-id>
実行中のスキャンを停止するには、次を実行します:
oxo scan stop --scan-id <scan-id>
コンテナ内で oxo を実行するには、公開されているイメージを使用して次のコマンドを実行します:
docker run -v /var/run/docker.sock:/var/run/docker.sock ostorlab/oxo:latest scan run --install --agent agent/ostorlab/nmap ip 8.8.8.8
注:
scan run で直接始まります。これは ostorlab/oxo イメージが oxo を entrypoint として持っているためです。OXO をオンプレミススキャナーとして実行する場合、--persist-logs を使用してスキャナーログをディスクに書き込みます:
oxo scanner --scanner-id <scanner-uuid> --persist-logs
デフォルトでは、ログは ~/.ostorlab/scanner.log に書き込まれます。別のファイルを選択するには:
oxo scanner --scanner-id <scanner-uuid> --persist-logs --log-file /var/log/ostorlab/scanner.log
永続化されるログの詳細度を変更するには:
oxo scanner --scanner-id <scanner-uuid> --persist-logs --log-level DEBUG
OXO は複数のアセットタイプのスキャンをサポートしており、異なるプラットフォームやプロトコルにわたる包括的なセキュリティカバレッジを可能にします。
| カテゴリ | アセット | 説明 |
|---|---|---|
| ネットワーク | ip | IP アドレスまたは IP 範囲 (v4 および v6)。 |
domain-name | ドメイン名。 | |
| Web | link | Web リンク。URL、メソッド、ヘッダー、リクエストボディを受け付けます。 |
api-schema | API スキーマ (OpenAPI、GraphQL など)。 | |
| モバイル | android-apk / android-aab | Android パッケージファイル (.APK、.AAB)。 |
android-store | Google Play ストアの Android アプリ。 | |
ios-ipa | iOS パッケージファイル (.IPA)。 | |
ios-store | Apple App Store の iOS アプリ。 | |
ios-testflight | TestFlight の iOS アプリ。 | |
harmonyos-apk / harmonyos-hap | HarmonyOS パッケージファイル。 | |
| その他 | file | 汎用ファイル。 |
phone-number | 電話番号。 | |
agent | エージェントのメタスキャン。 |
OXO はすべてのエージェントを公開ストアに掲載しており、検索したり、独自のエージェントを公開したりできます。
最初のエージェントを作成するには、完全な チュートリアルをこちらで確認できます。
手順は基本的に次のとおりです:
template_agent.py ファイルを変更してロジックを追加します。Dockerfile を変更して、追加のビルド手順を加えます。ostorlab.yaml を変更して、セレクター、ドキュメント、イメージ、ライセンスを追加します。エージェントを作成したら、ストアに公開して他のユーザーが使用および発見できるようにできます。ストアは エージェントのビルドを処理し、Git リポジトリから新しいリリースを自動的に取得します。
以下のような一般的なツールの実装:
急速に発展する分野のオープンソースプロジェクトとして、私たちは常に貢献を歓迎しています。新機能、インフラストラクチャの改善、ドキュメントの充実など、どのような形でも構いません。 始めるには CONTRIBUTING.md をご覧ください。
OXO をより良いツールにするためにご協力いただいた以下のコントリビューターに感謝します: