AuraBorealis: Você Sabe o Que Há nos Seus Pacotes Python?

Sobre

AuraBorealis é uma aplicação web para visualizar código anômalo e potencialmente malicioso em registros de pacotes Python. Ela utiliza dados de auditoria de segurança produzidos pela varredura do Python Package Index (PyPI) via Aura, uma análise estática projetada para auditoria de segurança em larga escala de pacotes Python. A ferramenta atual é uma prova de conceito e inclui alguns dados ao vivo do Aura, bem como alguns dados simulados para fins de demonstração.

Os recursos atuais incluem:

• Escanear todo o registro de pacotes Python para:
  • Listar pacotes com o maior número de avisos de segurança, ordenados por tipo de aviso do Aura
  • Listar pacotes ordenados pela contagem total e única de avisos
  • Listar pacotes pela pontuação geral de gravidade
• Exibir avisos de segurança para um pacote individual, ordenados por criticidade
• Visualizar os números de linha e linhas de código em arquivos que geram avisos de segurança para um pacote específico
• Comparar dois pacotes quanto a avisos de segurança

Instruções

Ative sua VPN (na IQT)

Clone o repositório.

git clone https://github.com/IQTLabs/AuraBorealisApp.git

Navegue até o diretório aura-borealis-flask-app.

cd aura-borealis-flask-app

Instale as dependências.

pip install -r requirements.txt

Execute o aplicativo.

python app.py

Navegue até a URL http://0.0.0.0:7000/ através de um navegador.

Roteiro de Funcionalidades

• Comparar um pacote a um perfil de referência de pacotes de finalidade semelhante para avisos de segurança
• Comparar diferentes versões do mesmo pacote para avisos de segurança
• Listar pacotes que tenham alterações em seus avisos e/ou pontuação de gravidade entre duas datas
• Capacidade de escanear um pacote/registro interno que não seja público no PyPI
• Exibir uma análise de permissões (este pacote faz uma conexão de rede? Este pacote requer permissões de biblioteca a nível de sistema operacional?)

Informações de Contato

[email protected] (John Speed Meyers, IQT Labs, líder do projeto Secure Code Reuse).

O principal desenvolvedor e criador do Aura é Martin Carnogusky, da sourcecode.ai.

Trabalhos Relacionados

• Postagem no blog da IQT sobre reutilização segura de código
• Postagens no blog da IQT sobre typosquatting e prevenção de typosquatting via pypi-scan
• Artigo da USENIX sobre "Contando Links Quebrados: A Visão de um Quant sobre Segurança da Cadeia de Suprimentos de Software"
• Conjunto de dados de código aberto da IQT sobre comprometimentos conhecidos da cadeia de suprimentos de software