CodeSec от Contrast Security

CodeSec предоставляет:

• Самый быстрый и точный SAST-сканер.
• Немедленные и практичные результаты — сканирование кода и serverless-окружений.
• Простой и бесшовный процесс входа с помощью GitHub или Google Account. От начала до конца за считанные минуты.
• Запустив сканирование ваших lambda-функций, вы можете обнаружить: уязвимости системы управления доступом (IAM) с минимальными привилегиями (излишне разрешающие политики) и способы их устранения.

Установка

NPM:

npm install --location=global @contrast/contrast

Homebrew:

brew tap contrastsecurity/tap

brew install contrast

Бинарные файлы:

1. Перейдите на https://pkg.contrastsecurity.com/ui/repos/tree/General/cli

2. В папке cli выберите вашу операционную систему и загрузите пакет.

3. В зависимости от вашей ОС необходимо разрешить выполнение файла.

Аутентификация

Для аутентификации введите contrast auth в терминале.

В открывшемся окне браузера войдите и выполните аутентификацию с помощью ваших учетных данных GitHub или Google.

Запуск сканирования

SAST-сканирование

Требования

Убедитесь, что у вас есть файлы правильных типов для сканирования.

• Загрузите файл .jar или .war для сканирования Java-проекта
• Загрузите файл .js или .zip для сканирования JavaScript-проекта
• Загрузите файл .exe или .zip для сканирования проекта .NET c# web forms

Запустите сканирование

Используйте команду Contrast scan contrast scan

Сканирование Lambda-функций

Требования

• В настоящее время поддерживаются функции Java и Python на AWS. Настройте учетные данные AWS в вашем локальном окружении, выполнив команды с вашими учетными данными:

export AWS_DEFAULT_REGION=<YOUR_AWS_REGION>
export AWS_ACCESS_KEY_ID=<YOUR_ACCESS_KEY_ID>
export AWS_SECRET_ACCESS_KEY=<YOUR_SECRET_ACCESS_KEY>

• Учетные данные AWS должны быть доступны в вашей локальной конфигурации (обычно ~/.aws/credentials). У вас есть возможность запустить сканирование lambda с вашим aws-profile, передав --profile. Вы также можете экспортировать другие учетные данные.

• Для сбора всей необходимой информации об AWS Lambda при использовании команды contrast lambda требуются следующие разрешения:

  • Lambda: GetFunction | GetLayerVersion
  • IAM: GetRolePolicy | GetPolicy | GetPolicyVersion | ListRolePolicies | ListAttachedRolePolicies

Запустите сканирование

Используйте contrast lambda для сканирования ваших AWS Lambda-функций. contrast lambda --function-name MyFunctionName --region my-aws-region

Команды Contrast

auth

Выполните аутентификацию Contrast с помощью вашей учетной записи GitHub или Google. Для входа откроется новое окно браузера.

Использование: contrast auth

config

Отображает сохраненные учетные данные.

Использование: contrast config

Параметры:

• -c, --clear - Удаляет сохраненные учетные данные.

scan

Выполняет SAST-сканирование безопасности.

Использование: contrast scan [option]

Параметры:

• contrast scan --file

  • Путь к файлу, который вы хотите отсканировать. Если файл не указан, Contrast ищет файл .jar, .war, .js или .zip в рабочем каталоге.
  • Псевдоним: --f

• contrast scan --name

  • Имя проекта Contrast. Если не указано, Contrast использует contrast.settings для определения проекта или создает проект.
  • Псевдоним: –n

• contrast scan --save

  • Загружает результаты в файл формата Static Analysis Results Interchange Format (SARIF). Файл сохраняется в текущий рабочий каталог с именем по умолчанию results.sarif. Вы можете просмотреть файл в любом текстовом редакторе.
  • Псевдоним: -s

• contrast scan --timeout

  • Время ожидания завершения сканирования в секундах. Значение по умолчанию: 300 секунд.
  • Псевдоним: -t

lambda

Имя AWS lambda-функции для сканирования.

Использование: contrast lambda --function-name

Параметры:

• contrast lambda --function-name --endpoint-url Переопределение конечной точки AWS. Аналогично AWS CLI. Псевдоним: -e

• contrast lambda --function-name --region Переопределение региона. По умолчанию используется AWS_DEFAULT_REGION. Аналогично AWS CLI. Псевдоним: -r

• contrast lambda --function-name --profile Переопределение профиля конфигурации AWS. Аналогично AWS CLI. Псевдоним: -p

• contrast lambda --function-name --json Возвращает ответ в формате JSON (вместо формата, удобного для чтения человеком). Псевдоним: -j

• contrast lambda -–function-name -–verbose Выводит расширенную информацию в терминал. Псевдоним: -v

• contrast lambda -–function-name --list-functions Перечисляет все доступные для сканирования lambda-функции.

• contrast lambda --function-name -–help Отображает руководство по использованию. Псевдоним: -h

help

Отображает руководство по использованию. Чтобы получить подробную справку для любой команды CLI, добавьте флаг -h или --help к команде. Использование: contrast scan --help Псевдоним: -h

version

Отображает версию Contrast CLI. Использование: contrast version Псевдоним: -v, --version