|
3 | 3 | 为了能全面而客观的对安全能力进行评价,蚂蚁安全团队从2021年开始探索建立安全能力的评价体系。通过应用安全评价体系项目,希望可以衡量出应用安全产品的技术优劣,指引应用安全产品的发展方向,并可辅助用于商业化安全产品采购的技术选型,详见wiki。 |
4 | 4 | 项目主要包括两部分,一部分是分语言的评价体系,另一部分是基于评价体系的Benchmark。项目一期首先发布的是Java IAST引擎能力评价体系V1.0和Benchmark。如果您有任何好的想法,欢迎与我们团队联系。 |
5 | 5 | ### 项目结构 |
6 | | -#### analyser: |
7 | | -分析器,用于解析转换不同的IAST软件扫描结果 |
8 | | -#### cases: |
9 | | -靶场用例 |
10 | | -#### cli: |
11 | | -提供报告生成,报告查询,结果比对等功能;你可以使用help命令查看具体支持哪些命令: |
12 | 6 | ``` |
13 | 7 | └── src |
14 | 8 | ├── main |
|
20 | 14 | │ │ ├── cases |
21 | 15 | │ │ ├── cli |
22 | 16 | ``` |
| 17 | +#### analyser: |
| 18 | + 分析器,用于解析转换不同的IAST软件扫描结果 |
| 19 | + 如果您有新的软件需要适配,可以通过以下几个步骤: |
| 20 | + 1.在VendorEnum枚举中增加您的软件 |
| 21 | + 2.在com.iast.astbenchmark.analyser.factory.stategy包中实现CaseDataTransfer接口 |
| 22 | + 3.注意实现过成功需要对扫描结果里面分析出'aTaintCase00xxx'这样的tagKey进行标记,您可以参考已经实现的CaseDataTransfer |
| 23 | + 4.最后您可以通过交互命令行对您的结果进行调试 |
| 24 | +#### cases: |
| 25 | +靶场用例,依据 |
| 26 | +[《引擎能力评价体系》](https://github.com/alipay/ant-application-security-testing-benchmark/wiki/Java-IAST%E5%BC%95%E6%93%8E%E8%83%BD%E5%8A%9B%E8%AF%84%E4%BB%B7%E4%BD%93%E7%B3%BB) |
| 27 | +持续更新中,您也可以评论留下您的宝贵意见或建议 |
| 28 | +#### cli: |
| 29 | + 提供报告生成,报告查询,结果比对等功能;你可以使用help命令查看具体支持哪些命令: |
23 | 30 |
|
24 | 31 | ### 快速入门 |
25 | | - 您可以使用AstbenchmarkApplicationTests 驱动靶场用例; |
26 | | - 如果您有新的软件需要接入靶场,您可以在analyser中实现数据转换; |
27 | | - 您可以在交互命令行中输入help查看所需命令: |
| 32 | + 项目通过AstbenchmarkApplication作为springboot项目启动, |
| 33 | + 您可以增加-Dspring.shell.interactive.enabled=false/true来关闭/开启项目的shell交互功能 |
| 34 | + 项目启动后您可以使用AstbenchmarkApplicationTests驱动靶场用例; |
| 35 | + 项目为您提供了交互命令行,输入help查看所需命令: |
28 | 36 | ``` |
29 | 37 | My Commands |
30 | 38 | search: -i :input reportId;-o :result to file;-l list ;-x export results(xmind,plain txt...) |
| 39 | + 报告搜索功能 egg:search -i reportId || search -l all |
31 | 40 | compare: -a :input reportId1;-b: input reportId2;-o:result to file; (compare reportId1 to reportId2) |
| 41 | + 报告对比功能 egg: compare -a reportId1 -b reportId2 |
32 | 42 | analysis: -v :input vendor;-p :input file;-c :input checkFlag;-o :result to file |
| 43 | + 跑测结果分析 egg: analysis -v IAST -p /var/data/testresult.log |
33 | 44 | runtest: -m :input MethodName(Which is CaseTag. eg:aTaintCase001);-i: input benchmark host (eg: http://localhost:39100/) |
| 45 | + 跑测用例命令行 egg: runtest -m aTaintCase001 |
34 | 46 | ``` |
35 | 47 | ### License |
36 | 48 | This project is licensed under the Apache License 2.0 |
0 commit comments