AuraBorealis: Знаете ли вы, что содержится в ваших пакетах Python?

О программе

AuraBorealis — это веб-приложение для визуализации аномального и потенциально вредоносного кода в реестрах пакетов Python. Оно использует данные аудита безопасности, полученные при сканировании Python Package Index (PyPI) с помощью Aura — инструмента статического анализа, предназначенного для крупномасштабного аудита безопасности пакетов Python. Текущая версия инструмента является прототипом и включает как реальные данные Aura, так и некоторые демонстрационные макетные данные.

Текущие возможности включают:

• Сканирование всего реестра пакетов Python для:

  • Вывода списка пакетов с наибольшим количеством предупреждений безопасности, отсортированных по типу предупреждения Aura
  • Вывода списка пакетов, отсортированных по общему и уникальному количеству предупреждений
  • Вывода списка пакетов по их общему показателю критичности

• Отображение предупреждений безопасности для отдельного пакета, отсортированных по критичности

• Визуализация номеров строк и строк кода в файлах, генерирующих предупреждения безопасности для конкретного пакета

• Сравнение двух пакетов по предупреждениям безопасности

Инструкции

Включите ваш VPN (в IQT)

Клонируйте репозиторий.

git clone https://github.com/IQTLabs/AuraBorealisApp.git

Перейдите в каталог aura-borealis-flask-app.

cd aura-borealis-flask-app

Установите зависимости.

pip install -r requirements.txt

Запустите приложение.

python app.py

Откройте в браузере URL http://0.0.0.0:7000/.

План развития

• Сравнение пакета с эталонным профилем пакетов аналогичного назначения по предупреждениям безопасности
• Сравнение разных версий одного и того же пакета по предупреждениям безопасности
• Вывод списка пакетов, у которых изменились предупреждения и/или показатель критичности между двумя датами
• Возможность сканировать внутренний пакет/реестр, не являющийся общедоступным на PyPI
• Отображение анализа разрешений (устанавливает ли этот пакет сетевое соединение? Требует ли этот пакет разрешений на уровне библиотек ОС?)

Контактная информация

[email protected] (John Speed Meyers, IQT Labs, руководитель проекта Secure Code Reuse).

Ведущий разработчик и создатель Aura — Мартин Карногусски (Martin Carnogusky) из sourcecode.ai.

Связанные работы

• Статья в блоге IQT о безопасном повторном использовании кода
• Статьи в блоге IQT о тайпсквоттинге и предотвращении тайпсквоттинга с помощью pypi-scan
• Статья в USENIX: "Counting Broken Links: A Quant's View of Software Supply Chain Security"
• Открытый набор данных IQT об известных компрометациях цепочки поставок ПО