Jackhammer:

Uma ferramenta de avaliação/gestão de vulnerabilidades de segurança para resolver todos os problemas da equipa de segurança.

O que é Jackhammer?

Jackhammer é uma ferramenta de colaboração construída com o objetivo de colmatar a lacuna entre a equipa de segurança vs a equipa de desenvolvimento, a equipa de QA e ser um facilitador para o TPM entender e acompanhar a qualidade do código que entra em produção. Pode realizar análise estática de código e análise dinâmica com capacidade de gestão de vulnerabilidades integrada. Encontra vulnerabilidades de segurança nas aplicações alvo e ajuda as equipas de segurança a gerir o caos nesta nova era de integração contínua e implementações contínuas/múltiplas.

Funciona completamente em RBAC (Controlo de Acesso Baseado em Funções). Existem painéis interessantes para análises individuais e análises de equipa, dando ampla flexibilidade para colaborar com diferentes equipas. É totalmente construído numa arquitetura modular que pode ser integrada com qualquer ferramenta open source/comercial.

Jackhammer usa o projeto OWASP pipeline para executar múltiplas ferramentas open source e comerciais contra o seu código, aplicação web, aplicação móvel, cms (wordpress), rede.

Principais Funcionalidades:

Fornece interface unificada para colaborar em descobertas
A análise (código) pode ser feita para todos os repositórios de gestão de código
Agendamento de análises com base em intervalos # diário, semanal, mensal
Filtragem avançada de falsos positivos
Publicar vulnerabilidades em sistemas de rastreio de bugs
Manter controlo sobre estatísticas e tendências de vulnerabilidades nas suas aplicações
Integra-se com a maioria das ferramentas de análise open source e comerciais
Gestão de utilizadores e funções dando maior controlo
Níveis de gravidade configuráveis na lista de descobertas em todas as aplicações
Progressão de estado de vulnerabilidade integrada
Filtros fáceis de usar para rever conjuntos direcionados entre toneladas de vulnerabilidades
Análise assíncrona (via sidekiq) que escala
Gestão de Vulnerabilidades Integrada
Acompanhe estatísticas e gráficos de tendências de segurança nas suas aplicações
Integra-se facilmente com uma variedade de ferramentas de análise open source, comerciais e personalizadas

Scanners de Vulnerabilidades Suportados:

Análise Estática:

* licença necessária ** licença comercial necessária

Encontrar segredos/tokens/credenciais hardcoded:

Trufflehog (Ligeiramente modificado/alargado para melhores resultados e integração a partir de maio de 2017)

Webapp:

Arachni

Aplicação Móvel:

Androbugs (Ligeiramente modificado/alargado para melhores resultados e integração a partir de maio de 2017)
Androguard (Ligeiramente modificado/alargado para melhores resultados e integração a partir de maio de 2017)

Wordpress:

WPScan (Ligeiramente modificado/alargado para melhores resultados e integração a partir de maio de 2017)

Rede:

Nmap

Adicionar Scanners Personalizados (outros open source/comerciais/pessoais):

Pode adicionar qualquer scanner ao jackhammer dentro de 10-30 minutos. Verifique os links/vídeo

Início Rápido e Instalação

Veja o nosso [Guia de Início Rápido/Instalação][] se quiser experimentar o Jackhammer o mais rapidamente possível usando Docker Compose.

Execute os seguintes comandos para configuração local (modo corporativo):

 git clone https://github.com/olacabs/jackhammer
 sh ./docker-build.sh

Credenciais predefinidas para configuração local:

nome de utilizador: [email protected]

palavra-passe: j4ckh4mm3r

(Para modo de utilizador único)

sh ./docker-build.sh SingleUser

faça o registo para obter acesso

Reiniciar o Jackhammer

docker-compose stop
docker-compose rm
docker-compose up -d

Guia do Utilizador

O [Guia do Utilizador][] dar-lhe-á uma visão geral de como usar o Jackhammer depois de ter tudo configurado e em funcionamento.

Demonstração

Link do Ambiente de Demonstração:

https://jch.olacabs.com/

Credenciais predefinidas: