AuraBorealis: 여러분의 Python 패키지에 무엇이 들어있는지 알고 계신가요?

소개

AuraBorealis는 Python 패키지 레지스트리에서 비정상적이고 잠재적으로 악의적인 코드를 시각화하기 위한 웹 애플리케이션입니다. 이 도구는 Python 패키지 인덱스(PyPI)를 대규모 Python 패키지 보안 감사를 위해 설계된 정적 분석 도구인 Aura를 통해 스캔하여 생성된 보안 감사 데이터를 사용합니다. 현재 도구는 개념 증명 수준이며, 일부 실시간 Aura 데이터와 데모 목적의 일부 모의 데이터를 포함하고 있습니다.

현재 기능은 다음과 같습니다:

• 전체 Python 패키지 레지스트리를 스캔하여:

  • Aura 경고 유형별로 정렬된 보안 경고 수가 가장 많은 패키지 목록
  • 총 경고 수 및 고유 경고 수로 정렬된 패키지 목록
  • 전체 심각도 점수별로 정렬된 패키지 목록

• 개별 패키지에 대한 보안 경고를 중요도별로 정렬하여 표시

• 특정 패키지에 대해 보안 경고를 생성하는 파일의 줄 번호 및 코드 줄 시각화

• 두 패키지의 보안 경고 비교

사용 방법

VPN을 켜십시오 (IQT 기준).

저장소를 클론합니다.

git clone https://github.com/IQTLabs/AuraBorealisApp.git

aura-borealis-flask-app 디렉토리로 이동합니다.

cd aura-borealis-flask-app

의존성을 설치합니다.

pip install -r requirements.txt

앱을 실행합니다.

python app.py

브라우저에서 http://0.0.0.0:7000/ URL로 접속합니다.

기능 로드맵

• 패키지를 유사한 목적의 패키지들로 구성된 벤치마크 프로필과 비교하여 보안 경고 분석
• 동일한 패키지의 다른 버전 간 보안 경고 비교
• 두 날짜 사이에 경고 및/또는 심각도 점수에 변경이 있는 패키지 목록
• PyPI에 공개되지 않은 내부 패키지/레지스트리 스캔 기능
• 권한 분석 표시 (이 패키지가 네트워크 연결을 만드는가? 이 패키지가 OS 수준 라이브러리 권한을 요구하는가?)

연락처 정보

[email protected] (John Speed Meyers, IQT Labs, 보안 코드 재사용 프로젝트 리더).

Aura의 주요 개발자이자 창시자는 sourcecode.ai의 Martin Carnogusky입니다.

관련 작업

• IQT 블로그 게시물: 보안 코드 재사용
• IQT 블로그 게시물: 타이포스쿼팅 및 pypi-scan을 통한 타이포스쿼팅 방지
• USENIX 기사: "깨진 링크 세기: 소프트웨어 공급망 보안에 대한 통계적 관점"
• IQT 오픈소스 데이터셋 - 알려진 소프트웨어 공급망 침해 사례