🐺 Vulfy

Быстрый кроссязыковой сканер уязвимостей, который не разменивается на мелочи.

🚀 Что такое Vulfy?

Vulfy — это молниеносно быстрый сканер уязвимостей, который проверяет зависимости вашего проекта на наличие известных проблем безопасности на 9 языках программирования. Написан на Rust для максимальной производительности, интегрируется с базой данных OSV.dev, предоставляя точную и актуальную информацию об уязвимостях.

✨ Ключевые возможности

• 🔥 Молниеносная скорость — асинхронная производительность Rust с параллельным сканированием
• 🌍 Поддержка множества экосистем — npm, Python, Rust, Java, Go, Ruby, C/C++, PHP, .NET
• 📊 Несколько форматов вывода — Таблица, JSON, CSV, SARIF для разных сценариев использования
• 🎯 Интеграция с OSV.dev — реальные данные об уязвимостях из базы Open Source Vulnerabilities от Google
• ⚡ Нулевая конфигурация — работает из коробки, настраивайте только то, что нужно
• 🔄 Готовность к CI/CD — правильные коды завершения и форматы для автоматизированных конвейеров
• 🤖 Автоматизация и мониторинг — непрерывный мониторинг Git-репозиториев с умными уведомлениями
• 📋 Расширенный движок политик — пользовательская фильтрация уязвимостей и политики безопасности
• 🔔 Многоплатформенные уведомления — интеграции с Discord, Slack и вебхуками

📚 Документация

📖 Полная документация — исчерпывающие руководства, учебники и справочники по API

Быстрая навигация

• 🚀 Быстрый старт за 5 минут — начните сканирование немедленно
• ⚙️ Руководство по установке — все способы установки
• 📋 Справочник по CLI — полная документация по командам
• 🤖 Настройка автоматизации — непрерывный мониторинг
• 🔧 Схема конфигурации — полный справочник по конфигурации

📦 Установка

Вариант 1: Готовые бинарники (рекомендуется)

# Linux/WSL
curl -LO https://github.com/mindPatch/vulfy/releases/latest/download/vulfy-linux-x86_64.tar.gz
tar -xzf vulfy-linux-x86_64.tar.gz
sudo mv vulfy /usr/local/bin/

# macOS (Intel)
curl -LO https://github.com/mindPatch/vulfy/releases/latest/download/vulfy-macos-x86_64.tar.gz
tar -xzf vulfy-macos-x86_64.tar.gz
sudo mv vulfy /usr/local/bin/

# macOS (Apple Silicon)
curl -LO https://github.com/mindPatch/vulfy/releases/latest/download/vulfy-macos-aarch64.tar.gz
tar -xzf vulfy-macos-aarch64.tar.gz
sudo mv vulfy /usr/local/bin/

Вариант 2: Через Cargo

cargo install vulfy

Вариант 3: Из исходников

git clone https://github.com/mindPatch/vulfy.git
cd vulfy
cargo build --release
sudo cp target/release/vulfy /usr/local/bin/

Проверка установки:

vulfy --version
# Должно вывести: vulfy 0.1.0

🏃‍♂️ Быстрый старт

Базовое сканирование уязвимостей

# Сканирование текущей директории
vulfy scan packages

# Сканирование указанной директории
vulfy scan packages --path /path/to/project

# Показать только уязвимости высокого уровня
vulfy scan packages --high-only

Создание отчётов

# JSON для автоматизации/CI
vulfy scan packages --format json --output security-report.json

# CSV для анализа в электронных таблицах
vulfy scan packages --format csv --output vulnerabilities.csv

# SARIF для вкладки "Безопасность" на GitHub
vulfy scan packages --format sarif --output vulfy.sarif

Интеграция с CI/CD

# Завершить сборку с ошибкой, если найдены уязвимости высокой степени серьёзности
vulfy scan packages --high-only --quiet || exit 1

# Сканировать только определённые экосистемы
vulfy scan packages --ecosystems npm,pypi --no-dev-deps

🎯 Поддерживаемые экосистемы

📋 Пример вывода

Красивый табличный формат (по умолчанию)

🔍 Сканирование файлов с пакетами...
📦 Найдено 6 файлов с пакетами в 4 экосистемах

🛡️  ОТЧЁТ ОБ УЯЗВИМОСТЯХ
┌─────────────────────────────────────────┬──────────────┬──────────┬─────────────────┬──────┐
│ Название                                │ CVE ID       │ Серьёзность│ Пакет           │ Год  │
├─────────────────────────────────────────┼──────────────┼──────────┼─────────────────┼──────┤
│ Удалённое выполнение кода в lodash       │ CVE-2021-123 │ 🔥 Высок.│ [email protected]   │ 2021 │
│ Path Traversal в express                 │ CVE-2022-456 │ 🟡 Сред. │ [email protected]  │ 2022 │
│ SQL-инъекция в sequelize                │ CVE-2020-789 │ 🔥 Высок.│ [email protected] │ 2020 │
└─────────────────────────────────────────┴──────────────┴──────────┴─────────────────┴──────┘

📊 СВОДКА СКАНИРОВАНИЯ
• Всего просканировано пакетов: 42
• Уязвимых пакетов: 8
• Всего уязвимостей: 12
• 🔥 Высокая серьёзность: 4
• 🟡 Средняя серьёзность: 6
• 🟢 Низкая серьёзность: 2

📖 Посмотреть все форматы вывода — примеры JSON, CSV, SARIF

🤖 Автоматизация и мониторинг

Vulfy включает мощную систему автоматизации для непрерывного мониторинга безопасности Git-репозиториев.

Ключевые возможности автоматизации

• 📂 Мониторинг нескольких репозиториев — отслеживание нескольких Git-репозиториев с по-веточным сканированием
• ⏰ Гибкое расписание — ежечасно, ежедневно, еженедельно или пользовательские cron-выражения
• 🔔 Умные уведомления — насыщенные оповещения в Discord/Slack с фильтрацией по серьёзности
• 📋 Расширенный движок политик — пользовательская фильтрация уязвимостей с сопоставлением ключевых слов
• 🔐 Поддержка аутентификации — токены GitHub, SSH-ключи, доступ к частным репозиториям
• 🏗️ Фильтрация экосистем — сканирование по экосистемам для каждого репозитория

Быстрая настройка автоматизации

# Инициализация автоматизации с примером конфигурации
vulfy automation init --with-examples

# Проверка конфигурации
vulfy automation validate

# Ручное сканирование с использованием конфигурации автоматизации
vulfy automation run

# Запуск непрерывного мониторинга
vulfy automation start --foreground

Пример конфигурации

# Мониторинг нескольких репозиториев
[[repositories]]
name = "my-web-app"
url = "https://github.com/user/my-web-app.git"
branches = ["main", "develop"]
ecosystems = ["npm", "pypi"]

[repositories.credentials]
username = "git"
token = "your_github_token_here"

# Ежедневное сканирование в 02:00 UTC
[schedule]
frequency = "daily"
time = "02:00"
timezone = "UTC"

# Уведомления через Discord webhook
[[notifications.webhooks]]
name = "Оповещения безопасности"
url = "https://discord.com/api/webhooks/..."
webhook_type = "discord"
enabled = true

# Продвинутые политики безопасности
[[policies]]
name = "Критические проблемы аутентификации"
enabled = true

[policies.conditions]
title_contains = ["authentication", "auth", "bypass"]
severity = ["high", "critical"]

[policies.actions]
notify = true
priority = "critical"
custom_message = "🚀 Обнаружена критическая уязвимость аутентификации!"

📖 Полное руководство по автоматизации — подробная настройка и конфигурация

🛠️ Использование и конфигурация

Параметры командной строки

vulfy scan packages [OPTIONS]

OPTIONS:
    -p, --path <PATH>              Директория для сканирования [по умолчанию: текущая]
    -f, --format <FORMAT>          Формат вывода: table, json, csv, summary, sarif
    -o, --output <FILE>            Сохранить результаты в файл
    -e, --ecosystems <LIST>        Сканировать только указанные экосистемы (через запятую)
    -q, --quiet                    Не показывать прогресс
    --high-only                    Показывать только уязвимости высокой/критической серьёзности
    --no-recursive                 Не сканировать поддиректории
    --no-dev-deps                  Пропустить зависимости для разработки

Конфигурация проекта

Создайте .vulfy.toml в корне проекта:

[scan]
ecosystems = ["npm", "pypi", "crates.io"]
min_severity = "medium"
skip_dev_deps = true
ignore_paths = ["node_modules", "vendor", ".git"]

[output]
format = "table"
color = "auto"

[api]
timeout = 30
max_concurrent = 10
retry_attempts = 3

📖 Полный справочник по конфигурации — документация полной схемы

🚀 План развития

✅ Недавно добавлено

• 🤖 Полная система автоматизации — мониторинг Git-репозиториев с расписанием
• 🔔 Многоплатформенные уведомления — интеграции с Discord, Slack и вебхуками
• 📋 Расширенный движок политик — пользовательская фильтрация уязвимостей и политики безопасности
• 🆕 3 новые экосистемы — поддержка C/C++, PHP и .NET

🔄 Скоро

• 🔧 Режим исправления — автоматическое обновление уязвимых пакетов до безопасных версий
• 📈 Анализ трендов — отслеживание тенденций уязвимостей с течением времени
• ⚡ Режим наблюдения — мониторинг в реальном времени новых уязвимостей
• 💾 Хранение в базе данных — исторические данные сканирования и аналитика

🔮 Перспективы

• 🐳 Сканирование контейнеров — обнаружение уязвимостей в Docker-образах
• 🌐 Веб-панель — централизованный интерфейс мониторинга безопасности
• 🔌 Система плагинов — расширяемая архитектура для пользовательских интеграций

Есть предложения по функциям? Откройте issue и обсудим!

🏗️ Архитектура и производительность

Vulfy построен на принципах производительности и надёжности:

• ⚡ Асинхронный дизайн — построен на Tokio для максимальной параллельности
• 🔧 Шаблон "Стратегия" — подключаемые парсеры для разных менеджеров пакетов
• 🚦 Лимитирование запросов — вежливое использование API с настраиваемыми ограничениями
• 💾 Эффективное использование памяти — потоковые парсеры для больших проектов
• 🛡️ Устойчивость к ошибкам — корректная обработка сетевых ошибок и ошибок парсинга
• 🔍 Семантическое версионирование — правильное сравнение версий с использованием крейта semver

📖 Глубокое погружение в архитектуру — детали технической реализации

🤝 Вклад в проект

Мы приветствуем вклад! Исправления ошибок, новые функции или поддержка экосистем — всё приветствуется.

Быстрый старт

git clone https://github.com/mindPatch/vulfy.git
cd vulfy
cargo build
cargo test

Рекомендации по вкладу

• Следуйте лучшим практикам Rust и запускайте cargo clippy
• Добавляйте тесты для новых функций
• Обновляйте документацию для изменений, видимых пользователю
• Держите сообщения коммитов чёткими и описательными

📖 Руководство по вкладу — подробные инструкции

🆘 Поддержка и сообщество

Получение помощи

• 🐛 Сообщить об ошибке: Создать issue
• 💡 Предложить функцию: Начать обсуждение
• ❓ Вопросы: Обсуждения на GitHub
• 📖 Документация: Полная документация

Быстрое решение проблем

• "Не найдены файлы с пакетами" — убедитесь, что вы находитесь в директории проекта с поддерживаемыми файлами пакетов
• "Сетевое соединение не удалось" — проверьте подключение к интернету; Vulfy требует доступ к OSV.dev API
• "Отказано в доступе" — убедитесь, что бинарник vulfy исполняемый: chmod +x vulfy

📄 Лицензия

Этот проект лицензирован по лицензии MIT — подробности в файле LICENSE.

🙏 Благодарности

• OSV.dev — всеобъемлющая база данных уязвимостей
• Сообщество Rust — удивительная экосистема крейтов и инструментов
• Контрибьюторы — все, кто делает Vulfy лучше