Dependency Combobulator

Dependency Combobulator é um framework de código aberto, modular e extensível para detectar e prevenir vazamentos de confusão de dependências e ataques potenciais. Isso facilita uma abordagem holística para garantir lançamentos de aplicações seguras que podem ser avaliados contra diferentes fontes (ex.: GitHub Packages, JFrog Artifactory) e muitos esquemas de gerenciamento de pacotes (ex.: npm, maven).

Público-alvo

O framework pode ser usado por auditores de segurança, pentesters e até mesmo integrado ao programa de segurança de aplicações de uma empresa e ao ciclo de lançamento de forma automatizada.

Principais recursos

• Pluggável - intervir no nível de commit, build, etapas de release no SDLC.
• Expansível - adicione facilmente seu próprio esquema de gerenciamento de pacotes ou fonte de código de sua escolha.
• Motor Heurístico de propósito geral - um modelo abstrato de dados de pacotes fornece uma abordagem heurística agnóstica.
• Suporte a uma ampla gama de tecnologias.
• Flexível - árvores de decisão podem ser determinadas com base em insights ou vereditos fornecidos pelo toolkit.

Facilmente extensível

O projeto prioriza a capacidade do profissional de estender e adaptar o toolkit às suas próprias necessidades específicas. Como tal, é projetado para ser capaz de estendê-lo para outras fontes, registros públicos, esquemas de gerenciamento de pacotes e estender o modelo abstrato e o motor heurístico acompanhante.

Instalação

Dependency Combobulator está pronto para funcionar como está - basta git clone ou baixar o pacote de https://github.com/apiiro/combobulator

Certifique-se de instalar as dependências necessárias executando:

pip install -r requirements.txt

Argumentos (--help)

  -h, --help            show this help message and exit
  -t {npm,maven}, --type {npm,maven}
                        Package Manager Type, i.e: npm, maven
  -l LIST_FROM_FILE, --load_list LIST_FROM_FILE
                        Load list of dependencies from a file
  -d FROM_SRC, --directory FROM_SRC
                        Extract dependencies from local source repository
  -p--package SINGLE    Name a single package.
  -c CSV, --csv CSV     Export packages properties onto CSV file
  -gh GITHUB_TOKEN, --github GITHUB_TOKEN
                        GitHub Access Token (Overrides .env file setting)
  -a {compare,comp,heuristics,heur}, --analysis {compare,comp,heuristics,heur}
                        Required analysis level - compare (comp), heuristics
                        (heur) (default: compare)

Apiiro <Heart> Community

Tipos de pacote suportados (-t, --t): npm, maven

Avaliação de dependência de fonte suportada:

• A partir de arquivo contendo os identificadores de dependência linha por linha. (-l, --load_list)
• Analisando a lista de materiais de software do repositório apropriado (ex.: package.json, pom.xml) (-d, --directory)
• Nomeando um único identificador (-p, --package)

O nível de análise é personalizável, pois você pode criar seu próprio perfil de análise preferido em segundos. Dependency Combobulator vem com vários níveis de análise prontos para uso, selecionados por -a, --analysis

Formato de saída suportado:

• Tela stdout (padrão)
• Exportação CSV para arquivo designado -(-CSV)

Exemplos de uso

https://user-images.githubusercontent.com/90651458/140915800-c267034b-90c9-42d1-b12a-83e12f70d44e.mp4

Créditos

O projeto é mantido e patrocinado pela Apiiro com 💜

Homenageamos grandes desenvolvedores e profissionais de AppSec apaixonados por mudanças 🙏