securecodebox/auto-discovery-kubernetes

什么是OWASP secureCodeBox？

OWASP secureCodeBox是一个自动化且可扩展的开源解决方案，可用于通过简单轻量的界面集成各种安全漏洞扫描器。secureCodeBox的使命是支持DevSecOps团队轻松在不同场景中实现安全漏洞测试自动化。

借助secureCodeBox，我们提供了一个用于持续扫描应用程序的工具链，可在开发过程早期发现简单问题，从而释放渗透测试人员的资源，使其能够专注于主要安全问题。

secureCodeBox项目运行在Kubernetes上。安装需要Helm（Kubernetes的包管理器）。也可以基于Docker基础设施启动不同的集成安全漏洞扫描器。

Kubernetes上的secureCodeBox快速入门

您可以在我们的文档网站上找到帮助您入门的资源，包括如何安装secureCodeBox项目以及帮助您运行第一次扫描的指南。

如何使用此镜像

此core镜像旨在与OWASP secureCodeBox结合使用。有关更多信息，请查看文档页面：[***]

bash
docker pull securecodebox/auto-discovery-kubernetes

示例

此示例将JuiceShop部署到新的Kubernetes命名空间。AutoDiscovery将自动检测此新部署，然后对其启动ZAP扫描。创建的扫描默认使用我们的zap-automation-framework ScanType，可通过autoDiscovery helm发布上的config.serviceAutoDiscovery.scanConfig.scanType配置进行更改。

启用ContainerAutoDiscovery后，AutoDiscovery还可以为每个唯一容器镜像创建trivy扫描（具有相同容器的多个pod将只创建一个扫描）。ScanType可通过config.containerAutoDiscovery.scanConfig.scanType定义。

Docker部署方案示例

bash
# 拉取镜像
docker pull securecodebox/auto-discovery-kubernetes

# 运行容器
docker run -it --rm securecodebox/auto-discovery-kubernetes --help

社区

欢迎您加入我们：

• GitHub
• OWASP Slack（#project-securecodebox频道）

• ---

secureCodeBox是官方的OWASP项目。

许可证

Apache-2.0许可证

与所有Docker镜像一样，这些镜像可能还包含其他可能受其他许可证约束的软件（例如基础发行版中的Bash等，以及主要软件的任何直接或间接依赖项）。

对于任何预构建镜像的使用，镜像用户有责任确保对该镜像的任何使用都符合其中包含的所有软件的相关许可证。

开发

本地运行AutoDiscovery

为避免每次更改代码都必须构建和部署AutoDiscovery，您可以在本地运行它。它会自动连接到kube配置中配置的当前集群。

bash
make run

运行测试

bash
# 在本地执行测试
make test

# 查看测试覆盖率
go tool cover -html=cover.out