cccs/assemblyline-service-safelist

Safelist Service

镜像概述和主要用途

Safelist Service是Assemblyline框架的核心服务之一，用于检查文件哈希与Assemblyline内部安全列表面基础设施，根据匹配结果标记文件为安全。该服务支持通过SQL数据库或CSV文件加载安全列表面数据，并可通过配置信任分发者（使用正则表达式）精细化定义安全文件范围。

核心功能和特性

• 文件哈希检查：验证文件哈希 against 内部安全列表面，自动标记安全文件
• 多源数据支持：兼容SQL数据库（类似NSRL格式，含FILE和PKG表）和CSV文件
• 灵活的信任机制：通过正则表达式配置信任分发者，精准控制安全文件来源
• 标准化镜像：基于Debian 11和Python 3.11构建，与Assemblyline框架无缝集成

服务详情

安全列表面数据格式

SQL数据库

若提供SQL DB文件，需遵循类似NSRL的格式（包含FILE和PKG表），更新器可加载并查询这些表以转换为CSV格式。

CSV文件

CSV文件需符合以下格式，首行为表头：

csv
SHA-256,SHA-1,MD5,Filename,Filesize
<sha256>,<sha1>,<md5>,<filename>,<filesize>
...

信任分发者配置

为确保安全列表面哈希的可信度，可通过正则表达式定义信任的分发者。例如，信任所有来自2K的文件，服务清单配置如下：

yaml
config:
  ...
  trusted_distributors:
    - ^2K.* # 匹配2K、2K Australia等

完整制造商列表可通过在NSRL的每个RDSv3表上执行SELECT name FROM MFG获取。

镜像变体和标签

该服务基于https://hub.docker.com/r/cccs/assemblyline-v4-service-base%E6%9E%84%E5%BB%BA%EF%BC%8C%E5%BA%95%E5%B1%82%E4%B8%BADebian 11，内置Python 3.11。标签定义如下：

使用方法和配置说明

本地测试运行

可通过以下命令本地运行Docker镜像测试：

bash
docker run \
    --name Safelist \
    --env SERVICE_API_HOST=http://`ip addr show docker0 | grep "inet " | awk '{print $2}' | cut -f1 -d"/"`:5003 \
    --network=host \
    cccs/assemblyline-service-safelist

添加到Assemblyline部署

如需将服务添加到Assemblyline部署，请参考官方指南：https://cybercentrecanada.github.io/assemblyline4_docs/developer_manual/services/run_your_service/#add-the-container-to-your-deployment

文档参考

Assemblyline通用文档：https://cybercentrecanada.github.io/assemblyline4_docs/
服务源码仓库：https://github.com/CybercentreCanada/assemblyline-service-safelist