Murphysec: безопасный CLI-инструмент для обнаружения уязвимостей в коде

Murphysec — это безопасный инструмент командной строки (CLI), который используется для выявления проблем безопасности зависимостей кода в командной строке. Инструмент также может быть интегрирован в процесс непрерывной интеграции (CI) для обеспечения безопасности кода.

Особенности инструмента:

• Анализирует информацию о зависимостях проекта, включая прямые и косвенные зависимости.
• Обнаруживает известные уязвимости в зависимостях проектов.

Скриншоты результатов работы инструмента:

• Результат выполнения команды CLI:

• Страница с результатами сканирования:

  

Поддерживаемые языки:

В настоящее время инструмент поддерживает обнаружение уязвимостей для проектов на следующих языках: Java, JavaScript, Golang, Python, PHP, C#, Ruby, Objective-C, .NET. В будущем планируется поддержка других языков программирования.

Инструмент работает следующим образом:

1. Для проектов, использующих различные языки и инструменты управления пакетами, инструмент Murphysec CLI использует анализ процесса сборки или прямой разбор файлов управления пакетами для точного получения информации о зависимостях проекта.
2. Информация о зависимостях проекта отправляется на сервер, где она анализируется с использованием базы данных известных уязвимостей, поддерживаемой Murphysec.

Сценарии использования:

Инструмент может использоваться для:

• Локального анализа кода.
• Интеграции в процессы непрерывной интеграции для автоматического обнаружения уязвимостей.

Шаги по использованию инструмента:

1. Установка: Загрузите последнюю версию инструмента с GitHub Releases.

2. Получение токена доступа: Инструмент требует токен доступа для аутентификации. Получите токен на панели управления Murphysec.

3. Аутентификация: Существует два способа аутентификации: через командную строку или через параметры командной строки.

4. Сканирование: Используйте команду murphysec scan для запуска сканирования. Доступные параметры

• --token: указывает на токен доступа.
• --log-level: указывает уровень детализации вывода в командной строке, по умолчанию вывод не производится. Доступные параметры: silent, error, warn, info, debug.

5. Просмотр результатов

По умолчанию CLI-инструмент не отображает подробные результаты. Подробные результаты проверки можно просмотреть на странице «Управление проектом» на консоли безопасности MurphySec.

Команды

murphysec auth

Команда murphysec auth используется для управления аутентификацией в CLI.

Использование:
  murphysec auth [команда]

Доступные команды:
  login
  logout

murphysec scan

Команда murphysec scan используется для выполнения проверки.

Использование:
  murphysec scan DIR [флаги]

Флаги:
  -h, --help                помощь
      --task-id string    указывает на ID проекта, к которому относится текущая проверка

Глобальные флаги:
  -x  --allow-insecure        разрешает небезопасное TLS-соединение
      --log-level string      указывает уровень детализации выводимой информации, может быть silent|error|warn|info|debug (по умолчанию «silent», вывод не производится)
      --network-log          выводит данные сети
      --no-log-file          не выводит файл журнала
      --server string        указывает адрес сервера
      --token string          указывает токен сервиса MurphySec
  -v, --version               номер версии CLI
      --write-log-to string   Указывает путь к файлу журнала

Часто задаваемые вопросы

1. Установка на Windows завершилась неудачно, отображается сообщение «PowerShell requires an execution policy of 'RemoteSigned'».

   PowerShell по умолчанию не разрешает загрузку и выполнение сценариев из удалённых источников. Необходимо открыть окно PowerShell с правами администратора и выполнить команду Set-ExecutionPolicy RemoteSigned -scope CurrentUser. После этого можно выполнить установку.

2. Почему информация о зависимостях и уязвимостях моего Java (maven) проекта неполная?

   • Проверьте, настроена ли локальная среда Maven. Для проверки выполните команду mvn -v.
   • Убедитесь, что источник Maven настроен правильно. Если это внутренний код компании, обычно требуется настроить частный источник компании. Обычно это делается путём изменения файла ~/.m2/settings.xml.
   • Проверьте наличие файла pom.xml в каталоге кода. Также можно использовать команду mvn dependency:tree --file="pom.xml", чтобы проверить, может ли этот проект нормально получать зависимости.

3. Почему количество проверенных зависимостей и уязвимых компонентов равно нулю?

   • Проверьте, находится ли ваш проект/файл в текущем поддерживаемом диапазоне проверок.

Общение и обратная связь

Свяжитесь с нами и добавьте наш номер в WeChat. Мы приглашаем вас присоединиться к группе общения MurphySec в WeChat.

Лицензия с открытым исходным кодом

Apache 2.0