SAMMY Open Source v2

Этот репозиторий содержит версию SAMMY с открытым исходным кодом — инструмент OWASP SAMM.

https://owasp.org/www-project-open-sammy/

Лицензия

Этот проект лицензирован в соответствии с международной лицензией Creative Commons Attribution-ShareAlike 4.0. Подробности см. в файле LICENSE.

SAMMY v2

• В комплекте установки есть предопределенный пользователь, добавленный в базу данных:
  • имя пользователя: [email protected]
  • пароль: admin
  • ключ MFA: AB4FHDUHYVGW7IAB (добавьте этот ключ в ваше приложение-аутентификатор вручную)

Как запустить без docker

Требования

• MySQL или MariaDB
• Redis (только если вы хотите запустить его в APP_ENV=prod)
• php8.2+
• composer

Необязательно

• Symfony CLI (https://symfony.com/download)

Как запустить

1. Создайте файл .env.local с вашей локальной конфигурацией. Пример с MariaDB:
   • в случае любой другой БД здесь вы можете найти правильную строку подключения — https://www.doctrine-project.org/projects/doctrine-dbal/en/latest/reference/configuration.html#connecting-using-a-url

DATABASE_URL=mysql://root:[email protected]:3306/sammy?serverVersion=11.3.2-MariaDB
REDIS_HOST=127.0.0.1
REDIS_PORT=6379
APP_ENV=dev
APP_DEBUG=1

2. установите и запустите

composer install
./scripts/setup_database.sh
# if you have symfony cli
symfony server:start --allow-http
# else
php -S 0.0.0.0:8000 -t ./public
open http://127.0.0.1:8000

Как запустить с docker

# 1. start DB and Redis
docker compose up -d db redis
# 2. now we can start our application
docker compose up -d --build app
# 3. sync SAMM model. Note, this step syncs the SAMM model from the core GitHub repo. You only have to run this the very first time and upon every SAMM model update.
docker compose exec app ./scripts/sync_samm.sh
# 4. sync DSOMM model. Note, this step syncs the DSOMM model from the core GitHub repo. You only have to run this the very first time and upon every DSOMM model update.
docker compose exec app ./scripts/sync_dsomm.sh
# 5. Enjoy
open http://127.0.0.1:8000

Почтовая рассылка

• Если вы хотите использовать функцию почтовой рассылки, вам необходимо добавить следующее в ваш файл .env.local или compose.yaml. Все поля обязательны. Кроме того, сервер должен по умолчанию использовать корректный SSL.
  • для .env.lcoal
    root@kitploit:~

      PHPMAILER_SMTP_HOST=
      PHPMAILER_SMTP_PORT=
      PHPMAILER_SMTP_USERNAME=
      PHPMAILER_SMTP_PASSWORD=
      PHPMAILER_SMTP_DEFAULT_SENDER=
      PHPMAILER_SMTP_USE_AUTH=
      PHPMAILER_SMTP_DEFAULT_ENCRYPTION=
      PHPMAILER_SMTP_AUTO_TLS=
    

    • для compose.yaml в разделе app, в подразделе environment
    root@kitploit:~

    - PHPMAILER_SMTP_HOST=
    - PHPMAILER_SMTP_PORT=
    - PHPMAILER_SMTP_USERNAME=
    - PHPMAILER_SMTP_PASSWORD=
    - PHPMAILER_SMTP_DEFAULT_SENDER=
    - PHPMAILER_SMTP_USE_AUTH=
    - PHPMAILER_SMTP_DEFAULT_ENCRYPTION=
    

• Если вы используете docker, вам больше ничего делать не нужно. Есть cron-задача, которая запускается каждые 2 минуты.
• Если вы запускаете это локально, вам нужно вручную выполнить следующую команду:

php ./bin/console app:process-mailing

Поддержка DSOMM

Мы поддерживаем оценку по модели DSOMM. По умолчанию в вашей базе данных будет модель DSOMM со всем необходимым. При желании вы можете импортировать собственную вариацию DSOMM. Например, у вас может быть модель с большим/меньшим количеством доменов и практик. Вы можете одновременно иметь несколько вариаций DSOMM.

php ./bin/console app:sync-from-dsomm --source="path/to/dsomm-file.yaml"

При желании вы можете передать ID метамодели, если хотите выполнить обновления существующей вариации DSOMM

php ./bin/console app:sync-from-dsomm --source="path/to/dsomm-file.yaml" --metamodel=33

Мы ожидаем один YAML-файл со всей структурой данных, как показано ниже. По умолчанию мы будем использовать этот файл https://github.com/devsecopsmaturitymodel/DevSecOps-MaturityModel-data/blob/main/src/assets/YAML/generated/generated.yaml