如何使用IaC Scan Runner扫描IaC中的常见安全漏洞

关于IaC Scan Runner

IaC Scan Runner是一款针对IaC(基础设施即代码)的安全漏洞扫描工具,在该工具的帮助下,广大安全开发人员可以轻松扫描IaC(基础设施即代码)中的常见漏洞。

IaC Scan Runner本质上是一个REST API服务,可以扫描IaC包并执行多种代码检测,以识别和发现其中潜在的安全漏洞和可提升安全性的地方。

如何使用IaC Scan Runner扫描IaC中的常见安全漏洞_第1张图片

工具要求

Python 3

Docker

MongoDB

工具运行

Docker运行

广大研究人员可以使用一个公共Docker镜像(xscanner/runner)来运行REST API:

# 在一个Docker容器中运行IaC Scan Runner REST API

# 导航至localhost:8080/swagger或localhost:8080/redoc即可使用

$ docker run --name iac-scan-runner -p 8080:80 xscanner/runner

除此之外,我们也可以在本地构建并运行镜像:

# 构建Docker容器(需要等待一些时间) 

$ docker build -t iac-scan-runner .

# 在Docker容器中运行IaC Scan Runner REST API

# 导航至localhost:8080/swagger或localhost:8080/redoc即可使用

$ docker run --name iac-scan-runner -p 8080:80 iac-scan-runner

命令行接口CLI运行

广大研究人员还可以在本地安装IaC Scan Runner,并通过命令行接口CLI工具调用IaC Scan Runner的功能:

# 安装命令行接口CLI

$ python3 -m venv .venv && . .venv/bin/activate

(.venv) $ pip install iac-scan-runner

# 打印OpenAPI规范

(.venv) $ iac-scan-runner openapi

# 安装工具依赖组件

(.venv) $ iac-scan-runner install

# 运行IaC Scan Runner REST API

(.venv) $ iac-scan-runner run

源码安装

源码本地运行:

# 导出环境变量

export MONGODB_CONNECTION_STRING=mongodb://localhost:27017

export SCAN_PERSISTENCE=enabled

export USER_MANAGEMENT=enabled

 

# 配置MongoDB

$ docker run --name mongodb -p 27017:27017 mongo

 

# 安装工具依赖组件

$ python3 -m venv .venv && . .venv/bin/activate

(.venv) $ pip install -r requirements.txt

(.venv) $ ./install-checks.sh

# 运行IaC Scan Runner REST API

(.venv) $ uvicorn src.iac_scan_runner.api:app

包含的REST API节点

REST API 节点

描述

/checks

检索和过滤检查

/checks/{check_name}/enable

启用运行检查

/checks/{check_name}/disable

禁用运行检查

/checks/{check_name}/configure

配置检查

/scan

初始化IaC扫描

工具使用

常规使用

首先,我们需要使用下列命令将该项目源码克隆至本地,并运行API:

$ git clone https://github.com/xlab-si/iac-scan-runner.git

$ docker compose up

接下来,我们就可以通过访问localhost:8000来使用不同的API节点了。除此之外,我们还可以导航至localhost:8080/swagger或localhost:8080/redoc并测试所有的API节点。

在下面的例子中,我们将使用curl调用API节点。

1、创建一个名为test的项目

curl -X 'POST' \

  'http://0.0.0.0/project?creator_id=test' \

  -H 'accept: application/json' \

  -d ''

此时将返回项目ID给我们,该项目ID为“1e7b2a91-2896-40fd-8d53-83db56088026”。

2、假设我们需要初始化所有测试(但ansible-lint除外)

curl -X 'PUT' \

  'http://0.0.0.0:8000/projects/1e7b2a91-2896-40fd-8d53-83db56088026/checks/ansible-lint/disable' \

  -H 'accept: application/json'

3、项目配置完成后,我们就可以选择需要扫描的文件并压缩,因为IaC Scan Runner的目标工作文件是压缩文档(.zip文件)。响应数据为JSON格式数据,但也可以将其改为HTML

curl -X 'POST' \

  'http://0.0.0.0:8000/projects/1e7b2a91-2896-40fd-8d53-83db56088026/scan?scan_response_type=json' \

  -H 'accept: application/json' \

  -H 'Content-Type: multipart/form-data' \

  -F '[email protected];type=application/zip'

命令行使用

首先运行下列命令安装相关的依赖组件:

$ sudo apt update

$ sudo apt install -y python3-venv python3-wheel python-wheel-common

然后安装并配置IaC Scan Runner CLI:

$ mkdir ~/iac-scan-runner && cd ~/iac-scan-runner

$ python3 -m venv .venv && . .venv/bin/activate

(.venv) $ pip install --upgrade pip

(.venv) $ pip install iac-scan-runner

可选参数命令如下:

iac-scan-runner openapi:打印OpenAPI规范;

iac-scan-runner install:安装IaC Scan Runner依赖组件;

iac-scan-runner run:运行IaC Scan Runner REST API;

注意,所有的CLI命令都可以使用-h/--help参数查看帮助选项。

许可证协议

本项目的开发与发布遵循Apache-2.0开源许可证协议。

项目地址

IaC Scan Runner:【GitHub传送门】

参考资料

IaC Scan Runner — IaC Scanner documentation

https://hub.docker.com/r/xscanner/runner

你可能感兴趣的:(github,API)