salesforce/vulnreportPlataforma de código aberto para gestão e automação de pentests pela Salesforce Product Security
O Vulnreport é uma plataforma para gerenciar testes de penetração e gerar relatórios de descobertas bem formatados e acionáveis, sem o excesso de trabalho que normalmente consome o tempo dos engenheiros de segurança. A plataforma foi construída para suportar automação em todas as etapas do processo e permitir personalização para quaisquer outros sistemas que você utilize como parte do seu processo de teste de penetração.
O Vulnreport foi construído pela equipe de Segurança de Produto da Salesforce como uma forma de eliminar o tempo que gastávamos escrevendo, formatando e revisando relatórios para testes de penetração. Nosso objetivo era e continua sendo construir ótimas ferramentas de segurança que permitam que testadores de penetração e engenheiros de segurança se concentrem em encontrar e corrigir vulnerabilidades.
O Vulnreport é uma aplicação web em Ruby (stack Sinatra/Rack) com um banco de dados PostgreSQL e uma camada de cache Redis.
O Vulnreport pode ser instalado em uma VM local ou servidor por trás de algo como nginx, ou pode ser implantado no Heroku.
Para implantar localmente, você precisará garantir que as dependências estejam instaladas:
Clone o repositório e abra o arquivo .env, atualizando conforme necessário. Em seguida, execute bundle install. Provavelmente você vai querer modificar start.sh para que funcione no seu ambiente - o incluído no repositório é destinado ao uso local durante depuração/desenvolvimento.
Você também deve criar um arquivo .env baseado no .env.example, ou definir as mesmas variáveis de ambiente definidas no .env no seu ambiente.
Você pode implantar automaticamente no Heroku. Depois de fazer isso, siga as instruções abaixo para fazer login no Vulnreport e finalizar a configuração.
Para implantar no Heroku (assumindo que você criou um aplicativo Heroku e tem o toolbelt instalado)
git clone [Vulnreport repo url]
heroku git:remote -a [Heroku app name]
heroku addons:create heroku-postgresql:hobby-dev
heroku addons:create heroku-redis:hobby-dev
heroku addons:create rollbar:free
heroku addons:create sendgrid:starter
Em seguida, abra o arquivo .env e copie as chaves/valores (atualizando os valores conforme necessário) para as configurações do Heroku do seu aplicativo. Isso também pode ser feito via comandos CLI do toolbelt. Observe que as variáveis de ambiente padrão após executar os addons devem estar corretas, mas você pode verificar novamente. Definitivamente, você vai querer atualizar VR_SESSION_SECRET. Se esta não for sua instalação de produção, você deve alterar RACK_ENV para development.
heroku config:set VR_SESSION_SECRET=abc123456
heroku config:set RACK_ENV=production
git push heroku master
Agora você pode seguir as instruções de instalação como faria se estivesse executando o Vulnreport localmente.
Para lidar com a configuração inicial do Vulnreport, execute o script SEED.rb. Se você estiver implantando no Heroku, execute isso via heroku run ./SEED.rb.
Se você usou o recurso automatizado 'Deploy to Heroku', esta etapa deve ter sido tratada automaticamente para você.
Running ./SEED.rb on ⬢ vulnreport-test... up, run.8035
Vulnreport 3.0.0.alpha seed script
WARNING: This script should be run ONCE immediately after deploying and then DELETED
Setting up Vulnreport now...
Setting up the PostgreSQL database...
Done
Seeding the database...
Done
User ID 1 created for you
ALL DONE! :)
Login to Vulnreport now and go through the rest of the settings!
Agora, exclua o arquivo SEED.rb.
O usuário administrador padrão foi criado para você com o nome de usuário admin e senha admin. Isso deve ser imediatamente alterado e/ou SSO deve ser configurado.
Neste ponto, você deve acessar sua URL do Vulnreport (por exemplo, https://my-vr-test.herokuapp.com acima) e fazer login com o usuário criado. Percorra as configurações do Vulnreport e do usuário para configurar sua instância do Vulnreport.
Você está pronto - para documentação sobre como usar sua nova instância do Vulnreport, veja a documentação completa em http://vulnreport.io/documentation
O Vulnreport é projetado e destinado a ser usado com sistemas externos. Para mais informações sobre como implementar as interfaces que permitem integração/sincronização com sistemas externos, consulte a documentação de interfaces personalizadas em http://vulnreport.io/documentation#interfaces.
Para gerar a documentação do código, execute simplesmente o Yard:
yard doc
yard server
Atualmente, o Vulnreport suporta um formato XML para importar Vulnerabilidades para um Teste específico. Isso é útil se você quiser que o Vulnreport esteja em uma rede diferente daquela onde você realiza seus testes de penetração e, portanto, esteja usando um cliente diferente para registrar descobertas enquanto testa ativamente, mas depende da configuração para sua instância específica do Vulnreport e configuração de Tipos de Vulnerabilidade.
Estamos trabalhando para suportar alguns outros tipos de importação XML (ZAP e Burp, por exemplo), bem como permitir exportação/importação XML arbitrária entre instâncias do Vulnreport. Fique atento, pois esperamos lançar esses recursos em breve.
O formato XML que o Vulnreport suporta atualmente é:
<?xml version="1.0" encoding="UTF-8"?>
<Test xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
<Vuln>
<Type>[Vulntype ID]</Type>
<File>[File Vuln Data]</File>
<Code>
[Code Vuln Data]
</Code>
<File>clsSyncLog.cls</File>
<Code>
hello world
</Code>
...etc...
</Vuln>
<Vuln>
<Type>6</Type>
<File>clsSyncLog.cls</File>
<File>CommonFunction.cls</File>
<Code>
12 Public Class CommonFunction{
</Code>
</Vuln>
</Test>
<?xml version="1.0" encoding="UTF-8"?>
<Test xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"">
<Vuln>
<Type>REQUIRED - EXACTLY 1 - INTEGER - ID of VulnType. 0 = Custom</Type>
<CustomTypeName>OPTIONAL - EXACTLY 1 - STRING if TYPE == 0</CustomTypeName>
<BurpData>OPTIONAL - UNLIMITED - STRING - Burp req/resp data encoded in our protocol</BurpData>
<URL>OPTIONAL - UNLIMITED - STRING - URL for finding</URL>
<FileName>OPTIONAL - UNLIMITED - STRING - Name/path of file for finding</FileName>
<Output>OPTIONAL - UNLIMITED - STRING - Output details</Output>
<Code>OPTIONAL - UNLIMITED - STRING - Code details</Code>
<Notes>OPTIONAL - UNLIMITED - STRING - Notes for vuln</Notes>
<Screenshot>
OPTIONAL - UNLIMITED - Screenshots of vuln
<Filename>REQUIRED - EXACTLY 1 - STRING - Filename with extension</Filename>
<ImageData>
REQUIRED - EXACTLY 1 - BASE64 - Screenshot data
</ImageData>
</Screenshot>
</Vuln>
....unlimited vulns....
<Vuln>
</Vuln>
</Test>