[📖 文档][docs]

Chain-bench 是一个开源工具，用于根据新的
CIS 软件供应链基准
审计你的软件供应链栈的安全合规性。 审计重点覆盖整个 SDLC 流程，可揭示从编码到部署阶段的风险。为了在与黑客的竞赛中胜出，并保护敏感数据和客户信任，你需要确保代码符合组织的策略。

更多信息请阅读 [Chain-bench 文档][docs]

目录

• 目录
• 简介
• 快速开始
  • 安装
  • 使用
    • 使用 Docker
    • 使用 GitHub Actions
    • 使用 Gitlab CI（测试版）
• 要求
• 支持的提供商
• 请注意
• 贡献
• 路线图

简介

Chain-bench 是一个开源工具，用于根据新的 CIS 软件供应链基准 审计你的软件供应链栈的安全合规性。 审计重点覆盖整个 SDLC 流程，可揭示从编码到部署阶段的风险。

快速开始

运行 chain-bench 的主要方式是作为独立的 CLI 工具。它需要你账户的访问令牌和仓库 URL，以便访问你的 SCM。

安装

通过你喜欢的安装方式获取 Chain-bench。详情请参阅文档中的[安装]部分。例如：

• brew install chain-bench
• nix-env --install -A nixpkgs.chain-bench
• docker run aquasec/chain-bench
• 从 https://github.com/aquasecurity/chain-bench/releases/latest/ 下载二进制文件

使用

chain-bench scan --repository-url <REPOSITORY_URL> --access-token <TOKEN> -o <OUTPUT_PATH>

使用自托管或专用 SCM 平台（自定义域名）

chain-bench scan --repository-url <REPOSITORY_URL> --scm-platform <SCM_PLATFORM> --access-token <TOKEN> -o <OUTPUT_PATH>

scm-platform 支持的值有 "github" 和 "gitlab"（测试版）

使用 Docker

docker run aquasec/chain-bench scan --repository-url <REPOSITORY_URL> --access-token <TOKEN>

使用 GitHub Actions

请参见仓库 https://github.com/aquasecurity/chain-bench-action

示例输出