CodeSec da Contrast Security

CodeSec oferece:

• O scanner SAST mais rápido e preciso.
• Resultados imediatos e acionáveis — analise código e ambientes serverless.
• Um processo de login fluido e sem atrito com conta GitHub ou Google. Do início ao fim em minutos.
• Ao executar uma análise nas suas funções lambda, você pode encontrar: vulnerabilidades de gerenciamento de identidade e acesso (IAM) de privilégio mínimo (políticas excessivamente permissivas) e remediação.

Instalação

NPM:

npm install --location=global @contrast/contrast

Homebrew:

brew tap contrastsecurity/tap

brew install contrast

Binários:

1. Acesse https://pkg.contrastsecurity.com/ui/repos/tree/General/cli

2. Selecione seu sistema operacional na pasta cli e baixe o pacote.

3. Você deve permitir permissões de execução no arquivo dependendo do seu SO.

Autenticar

Autentique digitando contrast auth no terminal.

Na janela do navegador que abrir, faça login e autentique-se com suas credenciais do GitHub ou Google.

Executar uma análise

Análise SAST

Requisitos

Certifique-se de ter os tipos de arquivo corretos para analisar.

• Envie um arquivo .jar ou .war para analisar um projeto Java
• Envie um arquivo .js ou .zip para analisar um projeto JavaScript
• Envie um arquivo .exe. ou .zip para analisar um projeto .NET c# web forms

Inicie a análise

Use o comando contrast scan do Contrast.

Análise de funções Lambda

Requisitos

• Atualmente suporta funções Java e Python na AWS. Configure as credenciais AWS no seu ambiente local executando os comandos com suas credenciais:

export AWS_DEFAULT_REGION=<YOUR_AWS_REGION>
export AWS_ACCESS_KEY_ID=<YOUR_ACCESS_KEY_ID>
export AWS_SECRET_ACCESS_KEY=<YOUR_SECRET_ACCESS_KEY>

• As credenciais AWS devem estar disponíveis na sua configuração local (geralmente ~/.aws/credentials). Você tem a opção de executar uma análise lambda com o seu aws-profile usando --profile. Você também pode exportar credenciais diferentes.

• Estas permissões são necessárias para coletar todas as informações exigidas em uma AWS Lambda para usar o comando contrast lambda:

  • Lambda: GetFunction | GetLayerVersion
  • IAM: GetRolePolicy | GetPolicy | GetPolicyVersion | ListRolePolicies | ListAttachedRolePolicies

Inicie a análise

Use o contrast lambda para analisar suas funções AWS Lambda. contrast lambda --function-name MyFunctionName --region my-aws-region

Comandos do Contrast

auth

Autentique o Contrast usando sua conta GitHub ou Google. Uma nova janela do navegador será aberta para login.

Uso: contrast auth

config

Exibe as credenciais armazenadas.

Uso: contrast config

Opções:

• -c, --clear - Remove as credenciais armazenadas.

scan

Realiza uma análise de segurança SAST.

Uso: contrast scan [option]

Opções:

• contrast scan --file

  • Caminho do arquivo que você deseja analisar. O Contrast procura por um arquivo .jar, .war, .js. ou .zip no diretório de trabalho se um arquivo não for especificado.
  • Alias: --f

• contrast scan --name

  • Nome do projeto Contrast. Se não for especificado, o Contrast usa o contrast.settings para identificar o projeto ou cria um projeto.
  • Alias: –n

• contrast scan --save

  • Baixa os resultados para um arquivo SARIF (Static Analysis Results Interchange Format). O arquivo é baixado para o diretório de trabalho atual com o nome padrão results.sarif. Você pode visualizar o arquivo com qualquer editor de texto.
  • Alias: -s

• contrast scan --timeout

  • Tempo em segundos para aguardar a conclusão da análise. O valor padrão é 300 segundos.
  • Alias: -t

lambda

Nome da função AWS lambda a ser analisada.

Uso: contrast lambda --function-name

Opções:

• contrast lambda --function-name --endpoint-url Substituição do endpoint AWS. Semelhante à AWS CLI. Alias: -e

• contrast lambda --function-name --region Substituição de região. O padrão é AWS_DEFAULT_REGION. Semelhante à AWS CLI. Alias: -r

• contrast lambda --function-name --profile Substituição de perfil de configuração AWS. Semelhante à AWS CLI. Alias: -p

• contrast lambda --function-name --json Retorna a resposta em JSON (em vez do formato legível padrão). Alias: -j

• contrast lambda -–function-name -–verbose Retorna informações estendidas ao terminal. Alias: -v

• contrast lambda -–function-name --list-functions Lista todas as funções lambda disponíveis para análise.

• contrast lambda --function-name -–help Exibe o guia de uso. Alias: -h

help

Exibe o guia de uso. Para listar a ajuda detalhada de qualquer comando CLI, adicione a flag -h ou --help ao comando. Uso: contrast scan --help Alias: -h

version

Exibe a versão da CLI do Contrast. Uso: contrast version Alias: -v, --version