zeronorth/integration

ZeroNorth集成容器

该镜像可用于通过ZeroNorth平台将持续安全集成到CI/CD管道中。更多信息请访问ZeroNorth官网：[***]。

环境变量

系统级环境变量

Docker特定环境变量

如果将STAGE设置为container，则必须指定以下值。

指定代理设置

如果需要使用代理服务器，可以传入以下变量：

集成点（阶段）

与ZeroNorth平台的集成可在5个独立阶段进行：

1. 源代码从版本控制检出后立即进行扫描。
2. 构建过程完成后立即进行构建制品扫描。
3. 扫描私有仓库或DockerHub中的已构建Docker镜像。
4. 部署后的浅层应用扫描。用于通过非破坏性应用扫描快速评估新部署代码的完整性。
5. 新部署基础设施克隆上的深度漏洞扫描/渗透测试。当需要更全面的测试（可能导致数据损坏或应用受损）时使用，仅针对部署基础设施的克隆执行。

设置CYBRIC_ENVIRONMENT

• 如果使用ZeroNorth共享SaaS平台，应始终设为默认值production（除非您是ZeroNorth工程师）。
• 如果在AWS中运行自己的ZeroNorth平台私有实例，应设为安装的主机名后缀。例如，如果ZeroNorth主机名是https://fabric.example.com，则设置CYBRIC_ENVIRONMENT为example.com；如果安装在https://fabric.cybric.company.com，则设置为cybric.company.com。
• 如果在虚拟机中运行ZeroNorth且服务没有标准主机名（api、fabric、uploads），则设置CYBRIC_ENVIRONMENT为vm并将以下变量设置为正确值：
  • API_URL
  • UI_URL
  • UPLOAD_URL

示例：CYBRIC_ENVIRONMENT=vm API_URL=http://api:7123 UI_URL=http://ui:7223 UPLOAD_URL=http://upload:1080

默认情况下，Bamboo服务（API）运行在端口7123，Burlap（UI）运行在7223，上传服务运行在1080。如果这些服务进行负载均衡，只需将URL指向负载均衡器。

文件包含和排除

可以使用INCLUDE_FILES和EXCLUDE_FILES变量限制发送到ZeroNorth的文件数量。这些参数使用Unix glob语法。

传递给这些变量的值可以是逗号分隔的列表（例如*.js,*.py,*.html）。

• 如果两个变量都未指定，code目录中的所有文件将被包含并发送到ZeroNorth。
• 如果仅指定INCLUDE_FILES，则仅包含匹配指定模式的文件。
• 如果仅指定EXCLUDE_FILES，则包含除匹配模式文件之外的所有文件。
• 如果同时指定两者，code目录中的文件将首先按INCLUDE_FILES模式过滤，然后按EXCLUDE_FILES模式过滤。

如果想查看文件是否被包含或排除，可将LOG_LEVEL设置为debug启用调试。注意：这会产生大量日志，仅推荐用于调试。

获取可用场景列表

SCENARIO变量需要配置用于扫描主机和制品的场景名称。要获取当前可用场景列表，请运行scenarios脚本：

不要同时指定SCENARIO和POLICY_ID，因为它们互斥。

bash
docker run -e CYBRIC_USER=[your docker.xuanyuan.run/zeronorth username] -e CYBRIC_PASSWORD=[your zeronorth password] zeronorth/integration:latest python scenarios.py

将返回管理员已激活的场景名称及其适用对象。使用以下表格将场景类型映射到可运行的阶段：

卷

容器需要2个绑定挂载卷：

• /code：源代码或构建制品的位置。
• /results：容器将扫描结果转储到scan.out文件的位置。

注意：如果使用S3_PATH，则无需挂载/code卷，因为代码将从S3拉取。

可选择添加第三个卷挂载以使用自定义证书颁发机构（CA）。如果运行私有ZeroNorth实例且使用自己的CA签名SSL证书，这将使集成容器信任您的CA。

在本地或构建机器上创建包含PEM格式CA根证书的文件夹，并将该目录挂载到/usr/local/share/ca-certificates。

示例：

bash
-v /mnt/custom_ca:/usr/local/share/ca-certificates/

启动时，集成容器会将/mnt/custom_ca中的所有证书复制到信任存储，以便对ZeroNorth API的HTTPS调用能正确验证。

挂载CUSTOMER_ARTIFACTS_PATH

CUSTOMER_ARTIFACTS_PATH应引用包含将呈现给运行器的制品的customer_artifacts_folder。以下文件夹结构对运行器查看这些制品很重要：

• 添加客户提供的证书（PEM格式）。证书必须命名为certificate：

  customer_artifacts_folder/certificates/certificate
  

• 添加特定工具扫描所需的许可证。许可证名称在ZeroNorth平台上创建许可证时指定：

  customer_artifacts_folder/license/<License Name>
  

• 添加ZAP上下文文件（认证脚本、上下文、URL文件等）。制品名称在ZeroNorth平台上创建制品时指定：

  customer_artifacts_folder/authScript/<Artifact Name>
  customer_artifacts_folder/context/<Artifact Name>
  customer_artifacts_folder/urlFile/<Artifact Name>
  

• 添加ZAP主机文件。主机文件名在ZeroNorth平台上创建主机文件时指定：

  customer_artifacts_folder/hosts/<Hosts file name>
  

扫描源代码

通过将STAGE环境变量设置为SOURCE并调用集成容器执行源代码扫描：

bash
docker run -v [主机检出源代码位置]:/code -v [主机结果位置]:/results -e LOG_LEVEL=DEBUG -e CYBRIC_USER=[your docker.xuanyuan.run/zeronorth username] -e CYBRIC_PASSWORD=[your zeronorth password] -e SCENARIO=brakeman-default -e STAGE=SOURCE zeronorth/integration:latest python cybric.py

例如，如果刚完成从另一个容器检出源代码的步骤，且该容器将源代码写入Docker主机上名为/mnt/shared/source的绑定挂载卷，则源代码扫描命令如下：

bash
docker run -v /mnt/shared/source:/code -v /mnt/shared/results:/results -e LOG_LEVEL=DEBUG -e CYBRIC_USER=barry@cybric.io -e CYBRIC_PASSWORD=****** -e SCENARIO=brakeman-default -e STAGE=SOURCE docker.xuanyuan.run/zeronorth/integration:latest python cybric.py

源代码将被压缩并发送到ZeroNorth进行扫描和分析。扫描结果将存储在ZeroNorth平台上，用于分析并返回供系统使用。结果将以JSON结构返回，便于程序解析。

如果源代码和构建制品托管在S3中，可通过S3_PATH环境变量引用它们拉取。如果需要指定AWS IAM凭证，还可传入AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY。

如果代码位于S3的子目录中，按如下方式扫描：

bash
docker run -it -e AWS_ACCESS_KEY_ID=your-access-key-here -e AWS_SECRET_ACCESS_KEY=your-secret-key-here -e SCENARIO=sonarqube-agent -e CYBRIC_USER=barry@cybric.io -e CYBRIC_PASSWORD=****** -e STAGE=source -e S3_PATH=s3://your-bucket-name/directory-name/ docker.xuanyuan.run/zeronorth/integration:latest python cybric.py

也可引用S3中的.zip和.tgz/.tar.gz文件，它们将被拉取。对于.tgz/.tar.gz文件，会直接发送到ZeroNorth扫描；而.zip文件需要下载并重新压缩为.tgz文件。

注意：确保存档中所有要扫描的代码都位于单个顶级目录下。

如果将FAIL_ON_HIGH_SEVERITY设置为1，则扫描期间发现的任何高严重性问题将导致容器以代码1退出。这在ZeroNorth集成容器用于构建管道且希望在发现高严重性错误时使管道失败的情况下很有用。

扫描主机漏洞

除了扫描源代码、构建和容器制品漏洞外，ZeroNorth还可扫描已部署应用的漏洞。

对服务器执行nmap发现扫描：

bash
docker run -v /mnt/shared/results:/results -e LOG_LEVEL=DEBUG -e CYBRIC_USER=[your docker.xuanyuan.run/zeronorth username] -e CYBRIC_PASSWORD=[your zeronorth password] -e SCENARIO=nmap-discovery -e STAGE=HOST HOST_TARGET=[要扫描的服务器IP或主机名] zeronorth/integration:latest python cybric.py

注意：对重要主机使用某些更具侵入性的工具和配置时要格外小心。许多这些工具具有主动尝试利用发现漏洞的激进设置，这在渗透测试中非常有用。

ZeroNorth应用

如果ZeroNorth账户中有应用，并希望确保其中的任何目标都没有超过严重性阈值的漏洞，可调用checkapp.py脚本。

前往FabricOPS > Application，找到您的应用，点击应用名称旁边的图标获取应用ID。按如下方式运行checkapp.py脚本：

bash
docker run -e APPLICATION_ID={your docker.xuanyuan.run/applications ID} -e CYBRIC_API_KEY={your API key} FAIL_ON_HIGH_SEVERITY={severity level to fail on} zeronorth/integration:latest python checkapp.py

严重性级别可以是INFO、LOW、MEDIUM、HIGH或CRITICAL。如果指定应用中的任何目标存在等于或超过指定严重性级别的漏洞，命令将以状态码1退出。这允许基于多个目标的漏洞使构建失败，并确保整个应用安全。

Cybricfile

除了使用环境变量指定扫描参数外，还可使用Cybricfile。Cybricfile是签入项目代码树根部的YAML文件，命名为.cybric.yml。

yaml
version: '1.0'
output_format: json
log_level: DEBUG
source:
  project_name: Project A Source
  fail_on_high_severity: true
  include_files:
    - src/**
  exclude_files:
    - build/**
  scenario: brakeman-default

build:
  project_name: Project A Build

container:
  project_name: Project A Container
  scenario: docker-image-scan-default
  image: docker.xuanyuan.run/mycompany/projecta:latest

host:
  project_name: Project A Web Server
  scenario: nmap-discovery
  host_target: staging.mycompany.com

顶级键与STAGE对应。要使用签入项目树的此文件执行source阶段，按如下方式运行命令：

bash
docker run -v [主机检出源代码位置]:/code -v [主机结果位置]:/results -e LOG_LEVEL=DEBUG -e CYBRIC_USER=[your docker.xuanyuan.run/zeronorth username] -e CYBRIC_PASSWORD=[your zeronorth password] -e STAGE=SOURCE zeronorth/integration:latest python cybric.py

注意：传入的环境变量将覆盖Cybricfile中指定的任何值。

注意：不能在Cybricfile中指定密钥或机密。这是为了防止机密签入版本控制而特意设计的。所有密钥和机密必须作为环境变量传入。

检索扫描结果

结果将以OUTPUT_FORMAT指定的格式写入/results/scan.out。

Windows EXE创建

Windows 10与pyinstaller存在一些复杂性。

预安装步骤

安装python3.6.2： https://www.python.org/ftp/python/3.6.2/python-3.6.2-amd64.exe

安装Windows 10 SDK： [***]

设置python、python脚本和Windows 10 SDK x64 DLL的环境路径：

C:\Users\Administrator\AppData\Local\Programs\Python\Python36
C:\Users\Administrator\AppData\Local\Programs\Python\Python36\Scripts
C:\Program Files (x86)\Windows