DependencyCheck v3.3.1 - Um utilitário de análise de composição de software que detecta vulnerabilidades divulgadas publicamente em dependências de aplicativos - Anonymous Hacker ';var trtd='
DependencyCheck v3.3.1 - Um utilitário de análise de composição de software que detecta vulnerabilidades divulgadas publicamente em dependências de aplicativos
Luiz Paulo 18:24:00 read ( words)
Dependency-Check é uma ferramenta de análise de composição de software (SCA) que tenta detectar vulnerabilidades divulgadas publicamente contidas nas dependências de um projeto. Isso é feito determinando se existe um identificador de CPE (Common Platform Enumeration) para uma determinada dependência. Se encontrado, ele gerará um relatório vinculado às entradas CVE associadas.
Documentação e links para lançamentos binários de produção podem ser encontrados nas páginas do github . Além disso, mais informações sobre a arquitetura e formas de estender a verificação de dependência podem ser encontradas no wiki .
Versões Atuais do
Para obter instruções sobre o uso do plugin Jenkins, por favor veja a página OWASP Dependency-Check Plugin .
Instruções mais detalhadas podem ser encontradas nas páginas do github de verificação de dependência . O CLI mais recente pode ser baixado da página de verificação de dependência do bintray.
No * nix
No Mac com Homebrew
sgdgfgf
Instruções mais detalhadas podem ser encontradas nas páginas do github dependency-check-maven . Por padrão, o plugin está vinculado à verifyfase (ie mvn verify). Alternativamente, pode-se invocar diretamente o plugin via mvn org.owasp:dependency-check-maven:check.
Tarefa Ant Para obter instruções sobre o uso da Tarefa Ant, consulte a página do github dependency-check-ant . Uso de desenvolvimento As instruções a seguir descrevem como compilar e usar o instantâneo atual. Embora todas as intenções sejam manter um instantâneo estável, recomenda-se que as versões de lançamento listadas acima sejam usadas. O repositório possui alguns arquivos grandes devido aos recursos de teste. A equipe tentou limpar o histórico o máximo possível. No entanto, é recomendável que você execute um clone superficial para economizar tempo:
$ ./cli/target/release/bin/dependency-check.sh -h
$ ./cli/target/release/bin/dependency-check.sh --project Testing --out . --scan ./src/test/resources
Em seguida, carregue o 'dependency-check-report.html' resultante em seu navegador favorito. Docker No exemplo a seguir, supõe-se que a origem a ser verificada esteja no diretório de trabalho atual. Dados persistentes e diretórios de relatórios são usados, permitindo que você destrua o contêiner após a execução.
--project "My OWASP Dependency Check Project" \
--out /report
Notas de Atualização Atualizando de 1.xx para 2.xx Observe que, ao atualizar a partir da versão 1.xx, as seguintes alterações precisarão ser feitas em sua configuração. Arquivo de supressão Para suportar vários arquivos de supressão, o mecanismo para configurar os arquivos de supressão foi alterado. Dessa forma, os usuários que definiram um arquivo de supressão em sua configuração precisarão atualizar. Veja os exemplos abaixo:
Além das alterações no arquivo de supressão, a tarefa dependencyCheckfoi renomeada para dependencyCheckAnalyze.