Contrast Security의 CodeSec

CodeSec은 다음을 제공합니다:

• 가장 빠르고 정확한 SAST 스캐너.
• 즉각적이고 실행 가능한 결과 — 코드와 서버리스 환경을 스캔합니다.
• GitHub 또는 Google 계정으로 번거로움 없이 원활하게 로그인할 수 있는 프로세스. 시작부터 완료까지 몇 분이면 됩니다.
• Lambda 함수에서 스캔을 실행하면 최소 권한 ID 및 액세스 관리(IAM) 취약점(과도하게 허용된 정책)과 수정 방법을 찾을 수 있습니다.

설치

NPM:

npm install --location=global @contrast/contrast

Homebrew:

brew tap contrastsecurity/tap

brew install contrast

바이너리:

1. https://pkg.contrastsecurity.com/ui/repos/tree/General/cli로 이동합니다.

2. cli 폴더에서 운영 체제를 선택하고 패키지를 다운로드합니다.

3. 운영 체제에 따라 파일에 실행 권한을 부여해야 합니다.

인증

터미널에서 contrast auth를 입력하여 인증합니다.

그 결과 열리는 브라우저 창에서 GitHub 또는 Google 자격 증명으로 로그인하고 인증합니다.

스캔 실행

SAST 스캔

요구 사항

스캔할 올바른 파일 유형이 있는지 확인하세요.

• Java 프로젝트 분석을 위해 .jar 또는 .war 파일을 업로드하세요.
• JavaScript 프로젝트 분석을 위해 .js 또는 .zip 파일을 업로드하세요.
• .NET C# Web Forms 프로젝트 분석을 위해 .exe. 또는 .zip 파일을 업로드하세요.

스캔 시작

Contrast 스캔 명령어 contrast scan을 사용하세요.

Lambda 함수 스캔

요구 사항

• 현재 AWS에서 Java 및 Python 함수를 지원합니다. 자격 증명으로 다음 명령을 실행하여 로컬 환경에 AWS 자격 증명을 구성하세요:

export AWS_DEFAULT_REGION=<YOUR_AWS_REGION>
export AWS_ACCESS_KEY_ID=<YOUR_ACCESS_KEY_ID>
export AWS_SECRET_ACCESS_KEY=<YOUR_SECRET_ACCESS_KEY>

• AWS 자격 증명은 로컬 구성(보통 ~/.aws/credentials)에서 사용할 수 있어야 합니다. aws-profile과 함께 --profile을 전달하여 lambda 스캔을 실행할 수 있습니다. 다른 자격 증명을 내보낼 수도 있습니다.

• contrast lambda 명령을 사용할 때 AWS Lambda에 대한 모든 필수 정보를 수집하려면 다음 권한이 필요합니다:

  • Lambda: GetFunction | GetLayerVersion
  • IAM: GetRolePolicy | GetPolicy | GetPolicyVersion | ListRolePolicies | ListAttachedRolePolicies

스캔 시작

AWS Lambda 함수를 스캔하려면 contrast lambda를 사용하세요. contrast lambda --function-name MyFunctionName --region my-aws-region

Contrast 명령어

auth

GitHub 또는 Google 계정을 사용하여 Contrast를 인증합니다. 로그인을 위해 새 브라우저 창이 열립니다.

사용법: contrast auth

config

저장된 자격 증명을 표시합니다.

사용법: contrast config

옵션:

• -c, --clear - 저장된 자격 증명을 제거합니다.

scan

보안 SAST 스캔을 수행합니다.

사용법: contrast scan [option]

옵션:

• contrast scan --file

  • 스캔하려는 파일의 경로입니다. 파일이 지정되지 않은 경우 Contrast는 작업 디렉터리에서 .jar, .war, .js. 또는 .zip 파일을 검색합니다.
  • 별칭: --f

• contrast scan --name

  • Contrast 프로젝트 이름입니다. 지정하지 않으면 Contrast는 contrast.settings를 사용하여 프로젝트를 식별하거나 프로젝트를 생성합니다.
  • 별칭: –n

• contrast scan --save

  • 결과를 SARIF(Static Analysis Results Interchange Format) 파일로 다운로드합니다. 파일은 현재 작업 디렉터리에 기본 이름인 results.sarif로 다운로드됩니다. 모든 텍스트 편집기에서 파일을 볼 수 있습니다.
  • 별칭: -s

• contrast scan --timeout

  • 스캔이 완료될 때까지 대기하는 시간(초)입니다. 기본값은 300초입니다.
  • 별칭: -t

lambda

스캔할 AWS Lambda 함수의 이름입니다.

사용법: contrast lambda --function-name

옵션:

• contrast lambda --function-name --endpoint-url AWS Endpoint 재정의. AWS CLI와 유사합니다. 별칭: -e

• contrast lambda --function-name --region 지역 재정의. 기본값은 AWS_DEFAULT_REGION입니다. AWS CLI와 유사합니다. 별칭: -r

• contrast lambda --function-name --profile AWS 구성 프로필 재정의. AWS CLI와 유사합니다. 별칭: -p

• contrast lambda --function-name --json JSON으로 응답을 반환합니다(기본 사람이 읽을 수 있는 형식 대신). 별칭: -j

• contrast lambda -–function-name -–verbose 확장된 정보를 터미널에 반환합니다. 별칭: -v

• contrast lambda -–function-name --list-functions 스캔 가능한 모든 lambda 함수를 나열합니다.

• contrast lambda --function-name -–help 사용 가이드를 표시합니다. 별칭: -h

help

사용 가이드를 표시합니다. 모든 CLI 명령에 대한 자세한 도움말을 보려면 명령에 -h 또는 --help 플래그를 추가하세요. 사용법: contrast scan --help 별칭: -h

version

Contrast CLI 버전을 표시합니다. 사용법: contrast version 별칭: -v, --version