优秀企业门户网站,在线设计平台市场分析,游戏资讯网站怎么做,互联网推广Dependency-Check 是 OWASP#xff08;Open Web Application Security Project#xff09;的一个实用开源程序#xff0c;用于识别项目依赖项并检查是否存在任何已知的#xff0c;公开披露的漏洞。 DependencyCheck 是什么 Dependency-Check 是 OWASP#xff08;Open Web …Dependency-Check 是 OWASPOpen Web Application Security Project的一个实用开源程序用于识别项目依赖项并检查是否存在任何已知的公开披露的漏洞。 DependencyCheck 是什么 Dependency-Check 是 OWASPOpen Web Application Security Project的一个实用开源程序用于识别项目依赖项并检查是否存在任何已知的公开披露的漏洞。目前已支持Java、.NET、Ruby、Node.js、Python等语言编写的程序并为C/C构建系统autoconf和cmake提供了有限的支持。而且该工具还是OWASP Top 10的解决方案的一部分。Dependency-Check 支持面广支持多种语言、可集成性强作为一款开源工具在多年来的发展中已经支持和许多主流的软件进行集成比如命令行、Ant、Maven、Gradle、Jenkins、Sonar等具备使用方便落地简单等优势。
DependencyCheck 实现原理
依赖性检查可用于扫描应用程序及其依赖库执行检查时会将 Common Platform Enumeration (CPE)国家漏洞数据库及NPM Public Advisories库下载到本地再通过核心引擎中的一系列分析器检查项目依赖性收集有关依赖项的信息。然后根据收集的依赖项信息与本地的CPENPM库数据进行对比如果检查发现扫描的组件存在已知的易受攻击的漏洞则标识最后生成报告进行展示。
DependencyCheck 集成
与maven集成
Dependency-check-maven非常易于使用可以作为独立插件使用也可以作为maven site的一部分使用。该插件需要使用Maven 3.1或更高版本第一次执行时可能需要20分钟或更长时间因为它会从NIST托管的国家漏洞数据库下载漏洞数据到本地备份库。第一次批量下载后只要插件每七天至少执行一次本地漏洞库就会自动更新更新只需几秒钟。集成很简单只需要在项目的pom文件中增加maven配置即可。
用法一
在target目录中创建dependency-check-report.html
plugingroupIdorg.owasp/groupIdartifactIddependency-check-maven/artifactIdversion4.0.2/versionconfigurationautoUpdatetrue/autoUpdate/configurationexecutionsexecutiongoalsgoalcheck/goal/goals/execution/executions/plugin
用法二
在maven site中创建聚合性的报告
plugingroupIdorg.owasp/groupIdartifactIddependency-check-maven/artifactIdversion4.0.2/versionreportSetsreportSetreportsreportaggregate/report/reports/reportSet/reportSets
/plugin
用法三
设置当风险指数CVSS大于等于8时CVSS分数为0-10则项目编译失败
plugingroupIdorg.owasp/groupIdartifactIddependency-check-maven/artifactIdversion4.0.2/versionconfigurationfailBuildOnCVSS8/failBuildOnCVSS/configurationexecutionsexecutiongoalsgoalcheck/goal/goals/execution/executions
/plugin
用法四
仅更新NVD漏洞库数据而不执行检查
plugingroupIdorg.owasp/groupIdartifactIddependency-check-maven/artifactIdversion4.0.2/versionexecutionsexecutiongoalsgoalupdate-only/goal/goals/execution/executions
/plugin
与 Jenkins 集成
Jenkins中需要安装插件Static Analysis Utilities 和 Dependency-Check
该插件具有执行依赖关系分析和构建后查看检查结果的功能。
执行依赖分析配置 查看检查分析结果配置 报告查看
样本报告demohttps://jeremylong.github.io/DependencyCheck/general/SampleReport.html DependencyCheck 项目信息
Github 项目地址https://github.com/jeremylong/DependencyCheck
文档地址https://jeremylong.github.io/DependencyCheck/
关于HummerRisk HummerRisk 是开源的云原生安全平台以非侵入的方式解决云原生的安全和治理问题核心能力包括混合云的安全治理和K8S容器云安全检测。
