Dependency Combobulator

Dependency Combobulator — это модульная и расширяемая платформа с открытым исходным кодом для обнаружения и предотвращения утечек при путанице зависимостей и потенциальных атак. Это способствует комплексному подходу к обеспечению безопасности выпусков приложений, которые можно оценивать по различным источникам (например, GitHub Packages, JFrog Artifactory) и многим схемам управления пакетами (например, npm, maven).

Целевая аудитория

Платформа может использоваться аудиторами безопасности, пентестерами и даже встраиваться в программу безопасности приложений предприятия и цикл выпуска в автоматическом режиме.

Основные возможности

• Модульность — возможность внедрения на уровне коммитов, сборки и этапов выпуска в SDLC.
• Расширяемость — легко добавляйте собственную схему управления пакетами или источник кода по вашему выбору.
• Эвристический движок общего назначения — абстрактная модель данных пакетов обеспечивает агностический эвристический подход.
• Поддержка широкого спектра технологий.
• Гибкость — деревья решений могут определяться на основе аналитики или заключений, предоставленных инструментом.

Легко расширяется

Проект ставит во главу угла возможность практика расширять и адаптировать инструмент под свои конкретные нужды. Поэтому он спроектирован так, чтобы его можно было расширять на другие источники, публичные реестры, схемы управления пакетами, а также расширять абстрактную модель и сопровождающий эвристический движок.

Установка

Dependency Combobulator готов к работе «как есть» — просто выполните git clone или скачайте пакет с https://github.com/apiiro/combobulator

Убедитесь, что установлены необходимые зависимости, выполнив:

pip install -r requirements.txt

Аргументы (--help)

  -h, --help            показать это справочное сообщение и выйти
  -t {npm,maven}, --type {npm,maven}
                        Тип менеджера пакетов, например: npm, maven
  -l LIST_FROM_FILE, --load_list LIST_FROM_FILE
                        Загрузить список зависимостей из файла
  -d FROM_SRC, --directory FROM_SRC
                        Извлечь зависимости из локального репозитория исходного кода
  -p--package SINGLE    Указать один пакет.
  -c CSV, --csv CSV     Экспортировать свойства пакетов в CSV-файл
  -gh GITHUB_TOKEN, --github GITHUB_TOKEN
                        Токен доступа GitHub (переопределяет настройки файла .env)
  -a {compare,comp,heuristics,heur}, --analysis {compare,comp,heuristics,heur}
                        Необходимый уровень анализа — compare (comp), heuristics
                        (heur) (по умолчанию: compare)

Apiiro <Heart> Community

Поддерживаемые типы пакетов (-t, --t): npm, maven

Поддерживаемые источники оценки зависимостей:

• Из файла, содержащего идентификаторы зависимостей построчно. (-l, --load_list)
• Путем анализа соответствующего файла программного манифеста репозитория (например, package.json, pom.xml) (-d, --directory)
• Указанием одного идентификатора (-p, --package)

Уровень анализа настраивается — вы можете создать свой собственный профиль анализа за секунды. Dependency Combobulator поставляется с несколькими готовыми уровнями анализа, выбираемыми с помощью -a, --analysis

Поддерживаемые форматы вывода:

• Экран (stdout) (по умолчанию)
• Экспорт в CSV в указанный файл (-CSV)

Примеры использования

https://user-images.githubusercontent.com/90651458/140915800-c267034b-90c9-42d1-b12a-83e12f70d44e.mp4

Благодарности

Проект поддерживается и спонсируется Apiiro с 💜

Мы чтим великих разработчиков и практиков AppSec, увлеченных переменами 🙏