jackhammer

Jackhammer:

Один инструмент для оценки и управления уязвимостями безопасности, решающий все проблемы команды безопасности.

Что такое Jackhammer?

Jackhammer — это инструмент для совместной работы, созданный с целью устранения разрыва между командой безопасности и командами разработки и тестирования, а также для помощи TPM (менеджерам технических продуктов) в понимании и отслеживании качества кода, поступающего в производство. Он может выполнять статический анализ кода и динамический анализ со встроенными возможностями управления уязвимостями. Он находит уязвимости безопасности в целевых приложениях и помогает командам безопасности управлять хаосом в эту новую эру непрерывной интеграции и непрерывных/множественных развёртываний.

Он полностью работает на основе RBAC (управление доступом на основе ролей). Существуют удобные дашборды для индивидуальных сканирований и сканирований команды, предоставляющие достаточную гибкость для совместной работы с разными командами. Он полностью построен на подключаемой архитектуре, которая может быть интегрирована с любым инструментом с открытым исходным кодом или коммерческим.

Jackhammer использует проект OWASP Pipeline для запуска множества инструментов с открытым исходным кодом и коммерческих инструментов для анализа вашего кода, веб-приложений, мобильных приложений, CMS (WordPress), сетей.

Ключевые возможности:

• Предоставляет унифицированный интерфейс для совместной работы над находками
• Сканирование (кода) может выполняться для всех репозиториев управления кодом
• Планирование сканирований по интервалам # ежедневно, еженедельно, ежемесячно
• Расширенная фильтрация ложных срабатываний
• Публикация уязвимостей в системы отслеживания ошибок
• Отслеживание статистики и тенденций уязвимостей в ваших приложениях
• Интеграция с большинством инструментов сканирования с открытым исходным кодом и коммерческих
• Управление пользователями и ролями, предоставляющее больший контроль
• Настраиваемые уровни серьёзности для списка находок в различных приложениях
• Встроенная последовательность изменения статуса уязвимости
• Простые в использовании фильтры для просмотра целевых наборов из множества уязвимостей
• Асинхронное сканирование (через sidekiq), которое масштабируется
• Бесшовное управление уязвимостями
• Отслеживание статистики и графиков тенденций безопасности в ваших приложениях
• Легкая интеграция с различными инструментами сканирования с открытым исходным кодом, коммерческими и пользовательскими

Поддерживаемые сканеры уязвимостей:

Статический анализ:

• Brakeman
• Bundler-Audit
• Dawnscanner
• FindSecurityBugs
• Xanitizer*
• NodeSecurityProject
• Retire.js

   * требуется лицензия      ** требуется коммерческая лицензия

Поиск жёстко закодированных секретов/токенов/учётных данных:

• Trufflehog (немного изменён/расширен для лучшего результата и интеграции по состоянию на май 2017 года)

Веб-приложения:

• Arachni

Мобильные приложения:

• Androbugs (немного изменён/расширен для лучшего результата и интеграции по состоянию на май 2017 года)
• Androguard (немного изменён/расширен для лучшего результата и интеграции по состоянию на май 2017 года)

WordPress:

• WPScan (немного изменён/расширен для лучшего результата и интеграции по состоянию на май 2017 года)

Сеть:

• Nmap

Добавление пользовательских (других инструментов с открытым исходным кодом/коммерческих/личных) сканеров:

Вы можете добавить любой сканер в Jackhammer в течение 10-30 минут. Смотрите ссылки/видео

Быстрый старт и установка

Смотрите наше Руководство по быстрому старту/установке, если хотите попробовать Jackhammer как можно быстрее с помощью Docker Compose.

Выполните следующие команды для локальной настройки (корпоративный режим):

 git clone https://github.com/olacabs/jackhammer
 sh ./docker-build.sh

Учётные данные по умолчанию для локальной настройки:

имя пользователя: [email protected]

пароль: j4ckh4mm3r

(Для режима одного пользователя)

sh ./docker-build.sh SingleUser

зарегистрируйтесь для получения доступа

Перезапуск Jackhammer

docker-compose stop
docker-compose rm
docker-compose up -d

Руководство пользователя

Руководство пользователя даст вам обзор того, как использовать Jackhammer после запуска.

Демо

Ссылка на демо-среду:

https://jch.olacabs.com/

Учётные данные по умолчанию:

имя пользователя: [email protected]

пароль: [email protected]