阅读量:1
简介
Dependency-Check 是 OWASP（Open Web Application Security Project）的一个实用开源程序，用于识别项目依赖项并检查是否存在任何已知的，公开披露的漏洞。
目前，已支持Java、.NET、Ruby、Node.js、Python等语言编写的程序并为C/C++构建系统（autoconf和cmake）提供了有限的支持。
而且该工具还是OWASP Top 10的解决方案的一部分。
Dependency-Check 支持面广（支持多种语言）、可集成性强，作为一款开源工具，在多年来的发展中已经支持和许多主流的软件进行集成
比如：命令行、Ant、Maven、Gradle、Jenkins、Sonar等；具备使用方便，落地简单等优势。
DependencyCheck 实现原理
依赖性检查可用于扫描应用程序（及其依赖库），执行检查时会将 Common Platform Enumeration (CPE)国家漏洞数据库及NPM Public Advisories库下载到本地，再通过核心引擎中的一系列分析器检查项目依赖性，收集有关依赖项的信息。
然后根据收集的依赖项信息与本地的CPE&NPM库数据进行对比，如果检查发现扫描的组件存在已知的易受攻击的漏洞则标识，最后生成报告进行展示。
OWASP Dependency-Check | Jenkins plugin
Owasp DependencyCheck插件安装
● 只要在Jenkins中安装OWASP Dependency-Check Plugin即可
● 在build阶段maven/ant执行后，sonar执行前进行DependencyCheck
● 需要勾选在Advanced中勾选Generate optional HTML report以及Generate optional vulnerability report (HTML)，否则sonarqube只有结果无具体报告
● 需要在sonar的配置中指定dependencyCheck的报告路径
OWASP Dependency-Check | OWASP Foundation
Jenkins job集成Dependency-check
在Jenkins“全局工具管理”里面新增一个Dependency-check的实例：
job构建里面选择“invoke dependency-check”：
#sonar工程标识，随意输入不重复有代表意义即可 sonar.projectKey=${JOB_NAME} #sonar工程标识，随意输入不重复有代表意义即可 sonar.projectName=${JOB_NAME} #sonar工程版本号 sonar.projectVersion=1.0 #源代码路径，依据需要可在$WORKSPACE后加入目标路径，缩小分析范围； sonar.sources=$WORKSPACE #class文件路径，依据需要可在$WORKSPACE后加入目标路径，缩小分析范围； sonar.java.binaries=$WORKSPACE sonar.exclusions=**/test/**,**/target/** sonar.java.source=8 sonar.java.target=8 # Encoding of the source code. Default is default system encoding sonar.sourceEncoding=UTF-8 sonar.dependencyCheck.reportPath=${WORKSPACE}/dependency-check-report.xml sonar.dependencyCheck.htmlReportPath=${WORKSPACE}/dependency-check-report.html sonar.dependencyCheck.summarize=true 注意执行顺序，先执行dependency-check，再执行sonarQube Scanner，因为sonar插件不会进行依赖扫描，需要通过dependency-check扫描完成后，读取配置文件，然后在页面展示的
点击Risk Gate Thresholds可以设定在整体缺陷个数或者新增缺陷个数是多少的情况下，把构建结果设置为Unstable或者Fail。比如：
对于issue总数来说，Critcal的达到2个，或者High的达到2个，就Unstable；Critical的达到10个，或者High的达到10个，就Fail；对于新增issue来说，Critical的达到1个，或者High的达到1个，就Unstable；Critical的达到5个，或者High的达到5个，就Fail。
保存后，点击立即构建。然后就是漫长的构建过程。构建完成之后，我们可以在jenkins的结果页查看其趋势：
点击某次具体构建之后可以查看此次构建的Dependency check结果详情
在sonarQube页面查看Dependency-Check报告
