bearer
v1.47.0
Memulai - FAQ - Dokumentasi - Laporkan Bug - Komunitas Perselisihan
Pembawa CLI : GO • Java • JavaScript • TypeScript • PHP • Python • Ruby
Bearer Pro by Cycode : C# • Kotlin • Elixir + Everything in Bearer OSS
Pelajari lebih lanjut tentang Support Bahasa
Pembawa CLI memindai kode sumber Anda untuk:
Risiko dan Kerentanan Keamanan Menggunakan aturan bawaan yang mencakup Top 10 dan CWE Top 25, seperti:
Catatan: Semua aturan dan pola kode mereka dapat diakses melalui dokumentasi.
Risiko privasi dengan kemampuan untuk mendeteksi aliran data yang sensitif seperti penggunaan PII, PHI di aplikasi Anda, dan komponen yang memproses data sensitif (misalnya database seperti PGSQL, API pihak ketiga seperti OpenAI, Sentry, dll.). Ini membantu menghasilkan laporan privasi yang relevan untuk:
Temukan risiko dan kerentanan keamanan Anda yang paling kritis hanya dalam beberapa menit. Dalam panduan ini, Anda akan menginstal pembawa CLI, menjalankan pemindaian keamanan pada proyek lokal, dan melihat hasilnya. Mari kita mulai!
Cara tercepat untuk menginstal pembawa CLI adalah dengan skrip instal. Ini akan memilih auto yang terbaik untuk arsitektur Anda. Instalasi default ke ./bin dan ke versi rilis terbaru :
curl -sfL https://raw.githubusercontent.com/Bearer/bearer/main/contrib/install.sh | shMenggunakan Tap Homebrew Resmi Bearer Cli:
brew install bearer/tap/bearerPerbarui instalasi yang ada dengan yang berikut:
brew update && brew upgrade bearer/tap/bearersudo apt-get install apt-transport-https
echo " deb [trusted=yes] https://apt.fury.io/bearer/ / " | sudo tee -a /etc/apt/sources.list.d/fury.list
sudo apt-get update
sudo apt-get install bearerPerbarui instalasi yang ada dengan yang berikut:
sudo apt-get update
sudo apt-get install bearerTambahkan Pengaturan Repositori:
$ sudo vim /etc/yum.repos.d/fury.repo
[fury]
name=Gemfury Private Repo
baseurl=https://yum.fury.io/bearer/
enabled=1
gpgcheck=0Kemudian instal dengan yum:
sudo yum -y update
sudo yum -y install bearerPerbarui instalasi yang ada dengan yang berikut:
sudo yum -y update bearerBearer CLI juga tersedia sebagai gambar Docker di Docker Hub dan GHCR.IO.
Dengan Docker terpasang, Anda dapat menjalankan perintah berikut dengan jalur yang sesuai di tempat contoh.
docker run --rm -v /path/to/repo:/tmp/scan bearer/bearer:latest-amd64 scan /tmp/scan Selain itu, Anda dapat menggunakan Docker Compose. Tambahkan yang berikut ke file docker-compose.yml Anda dan ganti volume dengan jalur yang sesuai untuk proyek Anda:
version : " 3 "
services :
bearer :
platform : linux/amd64
image : bearer/bearer:latest-amd64
volumes :
- /path/to/repo:/tmp/scan Kemudian, jalankan perintah docker compose run untuk menjalankan pembawa CLI dengan bendera yang ditentukan:
docker compose run bearer scan /tmp/scan --debugKonfigurasi Docker di atas akan selalu menggunakan rilis terbaru.
Unduh file arsip untuk sistem operasi/arsitektur Anda dari sini.
Buka arsip, dan letakkan biner di suatu tempat di jalur $ Anda (pada sistem unix-y,/usr/lokal/bin atau sejenisnya). Pastikan ia memiliki izin untuk mengeksekusi.
Untuk memperbarui CLI Bearer saat menggunakan biner, unduh rilis terbaru dan timpa lokasi instalasi Anda yang ada.
Cara termudah untuk mencoba pembawa CLI adalah dengan proyek contoh toko Owasp Juice. Ini mensimulasikan aplikasi JavaScript yang realistis dengan kelemahan keamanan umum. Klon atau unduh ke lokasi yang nyaman untuk memulai.
git clone https://github.com/juice-shop/juice-shop.git Sekarang, jalankan perintah pemindaian dengan bearer scan di direktori proyek:
bearer scan juice-shopBilah kemajuan akan menampilkan status pemindaian.
Setelah pemindaian selesai, pembawa CLI akan menghasilkan, secara default, laporan keamanan dengan rincian temuan aturan apa pun, serta di mana dalam basis kode pelanggaran terjadi dan mengapa.
Secara default perintah scan menggunakan pemindai SAST, jenis pemindai lainnya tersedia.
Laporan keamanan adalah pandangan yang mudah dicerna dari masalah keamanan yang terdeteksi oleh pembawa CLI. Sebuah laporan terdiri dari:
Aplikasi Contoh Toko Jus OWASP akan memicu temuan dan mengeluarkan laporan lengkap. Berikut bagian dari output:
...
HIGH: Sensitive data stored in HTML local storage detected. [CWE-312]
https://docs.bearer.com/reference/rules/javascript_lang_session
To skip this rule, use the flag --skip-rule=javascript_lang_session
File: juice-shop/frontend/src/app/login/login.component.ts:102
102 localStorage.setItem('email', this.user.email)
=====================================
59 checks, 40 findings
CRITICAL: 0
HIGH: 16 (CWE-22, CWE-312, CWE-798, CWE-89)
MEDIUM: 24 (CWE-327, CWE-548, CWE-79)
LOW: 0
WARNING: 0
Selain laporan keamanan, Anda juga dapat menjalankan laporan privasi.
Siap untuk langkah selanjutnya? Opsi tambahan untuk menggunakan dan mengonfigurasi perintah scan dapat ditemukan dalam mengkonfigurasi perintah pemindaian.
Untuk lebih banyak pemandu dan tips penggunaan, lihat dokumen.
Alat SAST diketahui mengubur tim dan pengembang keamanan di bawah ratusan masalah dengan sedikit konteks dan tidak ada rasa prioritas, seringkali membutuhkan analis keamanan untuk triase masalah secara manual.
Aset yang paling rentan saat ini adalah data sensitif, jadi kami mulai dari sana dan memprioritaskan temuan dengan menilai aliran data sensitif untuk menyoroti apa yang lebih kritis, dan apa yang tidak. Kemampuan unik ini memungkinkan kami untuk memberi Anda pemindai privasi juga.
Kami percaya bahwa dengan menghubungkan masalah keamanan dengan dampak bisnis yang jelas dan risiko pelanggaran data, atau kebocoran data, kami dapat membangun perangkat lunak yang lebih baik dan lebih kuat, tanpa biaya tambahan.
Selain itu, dengan bebas dan terbuka, dapat diperpanjang oleh desain, dan dibangun dengan pemikiran pengembang yang hebat, kami yakin Anda akan melihat perbedaannya untuk diri sendiri.
Selain mendeteksi kelemahan keamanan dalam kode Anda, pembawa CLI memungkinkan Anda untuk mengotomatiskan proses pengumpulan bukti yang diperlukan untuk menghasilkan laporan privasi untuk tim kepatuhan Anda.
Saat Anda menjalankan pembawa CLI pada basis kode Anda, itu menemukan dan mengklasifikasikan data dengan mengidentifikasi pola dalam kode sumber. Secara khusus, ia mencari tipe data dan cocok dengan mereka. Yang paling penting, itu tidak pernah melihat nilai -nilai yang sebenarnya - itu tidak bisa - tetapi hanya kode itu sendiri. Jika Anda ingin mempelajari lebih lanjut, berikut adalah penjelasan yang lebih panjang.
Bearer CLI dapat mengidentifikasi lebih dari 120+ tipe data dari kategori data sensitif seperti data pribadi (PD), PD sensitif, informasi yang dapat diidentifikasi secara pribadi (PII), dan Informasi Kesehatan Pribadi (PHI). Anda dapat melihat daftar lengkap dalam dokumentasi tipe data yang didukung.
Akhirnya, Bearer CLI juga memungkinkan Anda mendeteksi komponen yang menyimpan dan memproses data sensitif seperti database, API internal, dan API pihak ketiga. Lihat daftar resep untuk daftar lengkap komponen.
Pembawa CLI saat ini mendukung:
| Ga | JavaScript/TypeScript, Ruby, PHP, Java, Go, Python |
| Beta | - |
| Alfa | - |
Pelajari lebih lanjut tentang dukungan bahasa.
Itu tergantung pada ukuran aplikasi Anda. Ini bisa memakan waktu hanya 20 detik, hingga beberapa menit untuk basis kode yang sangat besar.
Sebagai aturan praktis, pembawa CLI tidak boleh memakan waktu lebih banyak daripada menjalankan suite tes Anda.
Dalam kasus integrasi CI, kami memberikan solusi pemindaian yang berbeda untuk membuatnya lebih cepat. Pelajari lebih lanjut.
Jika Anda terbiasa dengan alat SAST, positif palsu selalu merupakan suatu kemungkinan.
Dengan menggunakan teknik analisis kode statis paling modern dan memberikan solusi penyaringan dan memprioritaskan asli pada masalah yang paling penting, kami percaya kami telah secara dramatis meningkatkan pengalaman SAST secara keseluruhan.
Kami berusaha untuk memberikan pengalaman terbaik bagi pengguna kami. Pelajari lebih lanjut tentang bagaimana kami mencapai ini.
Kami merekomendasikan menjalankan pembawa CLI di CI Anda untuk memeriksa PR baru secara otomatis untuk masalah keamanan, sehingga tim pengembangan Anda memiliki loop umpan balik langsung untuk segera memperbaiki masalah.
Anda juga dapat mengintegrasikan CLI pembawa dalam CD Anda, meskipun kami sarankan untuk mengaturnya hanya gagal pada masalah kekritisan tinggi, karena dampak untuk organisasi Anda mungkin penting.
Selain itu, Running Bearer CLI sebagai pekerjaan yang dijadwalkan adalah cara yang bagus untuk melacak postur keamanan Anda dan memastikan masalah keamanan baru ditemukan bahkan dalam proyek dengan aktivitas rendah.
Pastikan untuk membaca Panduan Strategi Integrasi kami untuk informasi lebih lanjut.
Terima kasih telah menggunakan pembawa CLI. Masih punya pertanyaan?
Tertarik berkontribusi? Kami di sini untuk itu! Untuk perincian tentang cara berkontribusi, menyiapkan lingkungan pengembangan Anda, dan proses kami, tinjau panduan kontribusi.
Setiap orang yang berinteraksi dengan proyek ini diharapkan mengikuti pedoman kode etik kami.
Untuk melaporkan kerentanan atau dugaan kerentanan, lihat kebijakan keamanan kami. Untuk pertanyaan, masalah atau masalah keamanan lainnya, jangan ragu untuk membuka masalah atau bergabung dengan komunitas Discord.
Kode CLI Bearer dilisensikan berdasarkan ketentuan lisensi elastis 2.0 (ELV2), yang berarti Anda dapat menggunakannya secara bebas di dalam organisasi Anda untuk melindungi aplikasi Anda tanpa persyaratan komersial.
Anda tidak diizinkan memberikan CLI pembawa kepada pihak ketiga sebagai layanan yang di -host atau dikelola tanpa persetujuan eksplisit dari Bearer Inc.
