muti[Blackhat Europe tool] huskyCI: Извършване на тестове за сигурност във вашия CI
huskyCI е инструмент с отворен код, който извършва тестове за сигурност в CI pipelines на множество проекти и централизира всички резултати в база данни за по-нататъшен анализ и показатели.
Как работи?
Основната цел на този проект е да помогне на екипите за развитие да подобрят качеството на своя код, като намерят уязвимостите възможно най-бързо и по този начин ги коригират.
Той може да извършва статичен анализ на сигурността в Python (Bandit and Safety), Ruby (Brakeman), JavaScript (Npm Audit и Yarn Audit), Golang (Gosec) и Java (SpotBugs plus Find Sec Bugs). Той също така може да одитира хранилища като AWS Secret Keys, Private SSH Keys и много други, използвайки GitLeaks. Трябва да проверите тяхната huskyCI wiki, за да разберете по-добре как този инструмент може да помогне за осигуряването на проектите на вашата организация!
Архитектура
Тази страница описва на високо ниво как работи huskyCI и как работят компонентите.
huskyCI API (git api folder): отговаря за вземане на решения и централизиране на всички данни за резултатите от тестовете за сигурност. API удостоверява потребителите, използвайки OpenID Connect и приложения, използвайки локално издадени маркери (управлявани от API). API разполага с цялата информация за repos, клъстери, организации, тестове за сигурност, изходи, входове и как са свързани тези единици.
huskyCI CLI Client (git cli folder): е интерфейс на командния ред, отговорен за управлението на дейности на huskyCI, като добавяне на хранилища, добавяне / редактиране / премахване на тестове за сигурност, авторски маркери, игнориране на определени проверки на уязвимости и много други.
huskyCI UI Client (git ui folder): е уеб интерфейс, който действа като CLI интерфейс, използвайки уеб браузър.
huskyCI Workers (git workers folder): отговарят за взаимодействието с huskyCI API и huskyCI Clusters за управление на тестовете за сигурност. Използването на работници не е задължително, но е необходимо, когато API не може да се свърже директно в желаните клъстери.
Frontend
Той също има готин Frontend, изграден в React, така че можете да проверите някои статистически данни относно вашите резултати от huskyCI! След като стартирате първото си сканиране, просто посетете:
http://localhost:8080
