LunaTrace

LunaTrace — это инструмент с открытым исходным кодом для обеспечения безопасности цепочек поставок и аудита. В его основе лежит веб-консоль, которая отслеживает ваши проекты и их зависимости, выявляя уязвимости и другие проблемы. Эта консоль предоставляется как SaaS (доступна здесь бесплатно), либо вы можете развернуть её и управлять ей самостоятельно.

Дополнительную информацию см. в документации LunaTrace.

Короткое вступительное видео

Структура репозитория

Мы — команда инженеров по безопасности, миссия которой — создавать потрясающие инструменты безопасности с открытым исходным кодом. Всё находится в этом монорепозитории, и ниже представлена разбивка того, где находится всё, что мы создали.

• LunaTrace: Бесплатная альтернатива таким сервисам, как GitHub Dependabot или Snyk, которая автоматически отслеживает уязвимости в ваших зависимостях. Она автоматически интегрируется с Pull Request'ами GitHub, чтобы уведомлять вас о новых CVE до развёртывания в продакшн. Попробуйте в один клик через наше приложение GitHub.
  • Статус: Готово к продакшну и активно развивается (наша основная задача).
• Log4Shell CLI: Небольшая утилита командной строки для сканирования на наличие Log4Shell. Также поддерживает исправление JAR-файлов от Log4Shell, сканирование запущенных процессов в вашей системе и многое другое. Дополнительный контекст см. в нашем руководстве по смягчению последствий.
  • Статус: Готово к продакшну и используется тысячами компаний. Заменено LunaTrace.
• Наш блог по безопасности: Наши размышления для интернета. Именно здесь мы сообщили об уязвимости log4j и дали ей имя Log4Shell. Блог находится в этом репозитории по пути /docs/blog, если вы захотите внести свой вклад!
  • Статус: Постоянно обновляется, и мы приветствуем любые просьбы написать на определённые темы.
• LunaDefend: Комплексный набор программного обеспечения для безопасности, построенный вокруг токенизации, предназначенный для проактивной защиты ваших конфиденциальных данных от взлома, а также для упрощения пути к соответствию требованиям (SOC2, GDPR, PCI-DSS и т.д.).
  • Статус: Не поддерживается (но вы можете открывать issue).

Поддержка

Если вы столкнулись с проблемами, вам не хватает какой-то функции или вы просто хотите прояснить какие-то вопросы, пожалуйста, присоединяйтесь к нашему Discord-сообществу, чтобы пообщаться с нами.

Мы небольшая команда и всегда ищем обратную связь о том, какие проблемы мы можем помочь решить, поэтому нам было бы приятно, если бы вы нашли минутку, чтобы попробовать LunaTrace, и, если вам понравится, поделиться этим с коллегами и друзьями. Самая сложная часть нашей миссии по созданию лучших инструментов безопасности — это просто дать людям понять, что они существуют!

Вклад

Мы приветствуем вклад сообщества и документировали требования к нему здесь.

Если вы хотите поделиться идеями или отзывами, вы можете сделать это, открыв issue на GitHub или пообщавшись с нами в Discord.

См. также

Для получения дополнительной информации о LunaSec, включая учебные пособия, примеры и технические детали, посетите нашу документацию.
Для маркетинговой информации, продаж или связи с нами посетите наш сайт: https://www.lunasec.io/.

В остальной части этого ReadMe объясняется, как работать над самим LunaSec. Если вы просто хотите использовать LunaSec, обратитесь к документации.

Вклад

Пожалуйста, прочтите наши инструкции для участников перед тем, как создавать форк и отправлять pull request. Они короткие и очень полезны, если вы собираетесь работать над LunaSec.

Обратная связь

Наша цель — создать устойчивый бизнес для поддержки LunaSec, одновременно создавая сообщество с открытым исходным кодом. Если у вас есть мысли о том, как мы можем улучшить наш подход, мы будем рады услышать вас.

Пожалуйста, напишите нам на developer-feedback at lunasec dot io или создайте issue в этом репозитории.

Процесс выпуска

Процесс выпуска будет обрабатываться автоматически нашей системой CI/CD.

Под капотом процесс выпуска разбит на четыре части:

1. Увеличение версии
2. Компиляция артефактов
3. Публикация артефактов
4. Отправка тега версии в репозиторий

Разбиение этого процесса гарантирует, что каждая часть завершится без ошибок, прежде чем перейти к следующему шагу. Это значительно снижает вероятность того, что одни артефакты будут опубликованы, а другие нет, что приведёт к головной боли при отладке релиза.

Развёртывание релизов осуществляется с помощью GitHub Actions.

Версия

Версионирование релизов осуществляется с помощью lerna.

Компиляция

Поскольку монорепозиторий содержит код как на Go, так и на Node, компиляция происходит в нескольких местах. Для Node SDK каждый пакет имеет собственный скрипт компиляции в package.json, который запускается. Точка входа, вызывающая скрипт каждого пакета, находится здесь. Для Go весь код компиляции находится в Makefile в цели release.

Публикация

Для артефактов Node всё обрабатывается lerna. Для Go публикация обрабатывается с помощью цели publish в Makefile. Артефакты попадают в NPM, DockerHub и GitHub.

Отправка

Отправляемый тег версии содержит изменения версии для увеличенной версии монорепозитория. Вот пример коммита.