Jenkins整合Owasp DependencyCheck实现SCA

avatar
作者
猴君
阅读量:1

简介

Dependency-Check 是 OWASP(Open Web Application Security Project)的一个实用开源程序,用于识别项目依赖项并检查是否存在任何已知的,公开披露的漏洞。

目前,已支持Java、.NET、Ruby、Node.js、Python等语言编写的程序并为C/C++构建系统(autoconf和cmake)提供了有限的支持。

而且该工具还是OWASP Top 10的解决方案的一部分。

Dependency-Check 支持面广(支持多种语言)、可集成性强,作为一款开源工具,在多年来的发展中已经支持和许多主流的软件进行集成

比如:命令行、Ant、Maven、Gradle、Jenkins、Sonar等;具备使用方便,落地简单等优势。

DependencyCheck 实现原理

依赖性检查可用于扫描应用程序(及其依赖库),执行检查时会将 Common Platform Enumeration (CPE)国家漏洞数据库及NPM Public Advisories库下载到本地,再通过核心引擎中的一系列分析器检查项目依赖性,收集有关依赖项的信息。

然后根据收集的依赖项信息与本地的CPE&NPM库数据进行对比,如果检查发现扫描的组件存在已知的易受攻击的漏洞则标识,最后生成报告进行展示。

OWASP Dependency-Check | Jenkins plugin

Owasp DependencyCheck插件安装

● 只要在Jenkins中安装OWASP Dependency-Check Plugin即可

● 在build阶段maven/ant执行后,sonar执行前进行DependencyCheck

● 需要勾选在Advanced中勾选Generate optional HTML report以及Generate optional vulnerability report (HTML),否则sonarqube只有结果无具体报告

● 需要在sonar的配置中指定dependencyCheck的报告路径

OWASP Dependency-Check | OWASP Foundation

https://github.com/jeremylong/DependencyCheck/releases/download/v9.0.7/dependency-check-9.0.7-release.zip

Jenkins job集成Dependency-check

在Jenkins“全局工具管理”里面新增一个Dependency-check的实例:

job构建里面选择“invoke dependency-check”:

#sonar工程标识,随意输入不重复有代表意义即可 sonar.projectKey=${JOB_NAME}   #sonar工程标识,随意输入不重复有代表意义即可 sonar.projectName=${JOB_NAME}   #sonar工程版本号 sonar.projectVersion=1.0   #源代码路径,依据需要可在$WORKSPACE后加入目标路径,缩小分析范围; sonar.sources=$WORKSPACE  #class文件路径,依据需要可在$WORKSPACE后加入目标路径,缩小分析范围; sonar.java.binaries=$WORKSPACE  sonar.exclusions=**/test/**,**/target/**  sonar.java.source=8  sonar.java.target=8  # Encoding of the source code. Default is default system encoding  sonar.sourceEncoding=UTF-8  sonar.dependencyCheck.reportPath=${WORKSPACE}/dependency-check-report.xml sonar.dependencyCheck.htmlReportPath=${WORKSPACE}/dependency-check-report.html sonar.dependencyCheck.summarize=true 

注意执行顺序,先执行dependency-check,再执行sonarQube Scanner,因为sonar插件不会进行依赖扫描,需要通过dependency-check扫描完成后,读取配置文件,然后在页面展示的

点击Risk Gate Thresholds可以设定在整体缺陷个数或者新增缺陷个数是多少的情况下,把构建结果设置为Unstable或者Fail。比如:

对于issue总数来说,Critcal的达到2个,或者High的达到2个,就Unstable;Critical的达到10个,或者High的达到10个,就Fail;对于新增issue来说,Critical的达到1个,或者High的达到1个,就Unstable;Critical的达到5个,或者High的达到5个,就Fail。

保存后,点击立即构建。然后就是漫长的构建过程。构建完成之后,我们可以在jenkins的结果页查看其趋势:

点击某次具体构建之后可以查看此次构建的Dependency check结果详情

在sonarQube页面查看Dependency-Check报告

广告一刻

为您即时展示最新活动产品广告消息,让您随时掌握产品活动新动态!