AuraBorealis：你了解你的 Python 包中包含什么吗？

关于

AuraBorealis 是一个用于可视化 Python 包注册表中异常及潜在恶意代码的 Web 应用程序。它利用通过 Aura 扫描 Python 包索引（PyPI）所产生的安全审计数据，Aura 是一种专为大规模 Python 包安全审计而设计的静态分析工具。当前版本为概念验证，包含部分实时的 Aura 数据以及一些用于演示的模拟数据。

当前功能包括：

• 扫描整个 Python 包注册表，以便：

  • 列出安全警告数量最多的包，按 Aura 警告类型 排序
  • 列出按警告总数和唯一警告数量排序的包
  • 列出按总体严重性得分排序的包

• 显示单个包的安全警告，按关键性排序

• 可视化生成特定包安全警告的文件中的行号和代码行

• 比较两个包的安全警告

使用说明

开启你的 VPN（在 IQT 网络下）

克隆仓库。

git clone https://github.com/IQTLabs/AuraBorealisApp.git

进入 aura-borealis-flask-app 目录。

cd aura-borealis-flask-app

安装依赖。

pip install -r requirements.txt

运行应用程序。

python app.py

在浏览器中导航到 URL http://0.0.0.0:7000/。

功能路线图

• 将某个包与具有相似用途的包的基准配置文件进行安全警告比较
• 比较同一包不同版本的安全警告
• 列出在两个日期之间警告和/或严重性得分发生变化的包
• 支持扫描不在 PyPI 上公开的内部包/注册表
• 显示权限分析（该包是否建立网络连接？该包是否需要操作系统级别的库权限？）

联系方式

[email protected]（John Speed Meyers，IQT Labs，安全代码复用项目负责人）。

Aura 的牵头开发者及创建者是 sourcecode.ai 的 Martin Carnogusky。

相关工作

• IQT 关于安全代码复用的博客文章
• IQT 关于域名抢注以及通过 pypi-scan 防止域名抢注的博客文章
• USENIX 文章"Counting Broken Links: A Quant's View of Software Supply Chain Security"
• IQT 关于已知软件供应链破坏的开放数据集