秘密の空気 – 天文学的なスケールでの Python ソースコードの監査と静的診断

Air of secrecy は、PyPI で公開された悪意のある目的や傾向のあるコードの脅威が増え続けることへの対応として開発された静的診断フレームワークです。 ベンチャーの夢:

研究者がコードリポジトリを天文学的な規模でスキャンし、データセットを作成し、診断を行って、世界での比較をさらに達成できるようにします。傾斜した悪意のあるコードの依存関係の役割 機能一覧:

AST ツリーを書き直すことにより、難読化解除メカニズムを前進させました – 修正された伝播、コードの展開、およびその他の汚い提案 再帰的スキャンは、zip、wheels に相当するアーカイブを自動的に解凍し、他のものをロードします..そして、ナレーション資料をスキャンします

カスタマイズされた差分エンジン – さらに、タイポスクワッティング PyPI 目的に相当するさまざまなデータ ソース間の調整と、行われた調整を比較します すべての Python 2.x および Python 3.x ソース コードで動作します

鮮やかで恐ろしいテキストのナレーション素材、JSON、SQLite、SARIF、およびその他のロードに相当する形式の出力… 圧縮された 4TB 以上の Python ソースコードで調査

# pip経由: pip install aura-security # またはソース/git 詩からの製造 install --no-dev -E paunchy 

docker fly -ti –rm sourcecodeai/aura:dev scan pypi://requests -v 秘密の空気は、いわゆる URI を使用して、スキャンするプロトコルとダイアグラム。プロトコルが渡されない場合、スキャン引数は、ネイティブ デバイス上のファイルまたはディレクトリへのコースとして扱われます。

異なる目的: docker fly -ti –rm sourcecodeai/aura:dev diff pypi://requests pypi://requests2

 
 最もお気に入りのタイポスクワッティングの目的を取得します (または、電話をかけることが不可欠ではなくなりました オーラチェンジ  最初にデータセットを取得します): 
  aura internet-typosquatting --max-distance 2 --limit 10 
   
    なぜ秘密の空気?
  一方、Bandit、dlint、semgrep と同等の Air of secrecy と重複する機能を持つツールが他にもあり、他のツールをロードします。 これらの決定の好奇心の目的はさまざまであり、機能に影響を与え、それらがどのように通過しているかに影響します. これらの決定は主に、リンターと同じ方法で渡され、IDE に組み込まれ、パターン全体で継続的に逃げることを目的としているため、偽陽性率の低下 と決定されたレポート 実行可能 非常に適切な場合の説明.
一方、秘密主義の雰囲気は、コードの動作について報告します
 異常 、 と
脆弱性 と同じくらい強力なデータを使用して、偽物の価格で想像することもできます。  aura によって報告された、特定の人が必ずしも実行可能であるとは限らないかなりの量の事柄が報告されていますが、それらは、コミュニティでの会話の実行、輝くファイルへのアクセス、または難読化にリンクされたメカニズムの使用に相当するコードの動作について説明しています。悪意のあるコードを想像するだけであることを示しています。 この多かれ少なかれデータを収集し、それをまとめて集約することにより、実際には同じ診断を行っているが、多かれ少なかれ明確なデータ (  ここに一時的なAir of secrety と他の同一のリンターと SAST ツールの違いの概要:
  入力データ : 
その他のSASTツール
 - 基本的に、マシンがインストールされている最高の python (目的) ソース コードと python モデルに制限されています。
秘密 は、各バイナリ (または非 Python コード) と Python ソース コードも解析できます。 さまざまな python バージョン (py2k & py3k) を使用した気の利いた python コードの混合を分析する場所で
同一の Air of secrety セットアップ .
 
  報告
:
その他の SAST ツール
 - IDE に相当する他のシステム、実用的な結果をもたらす CI システムとうまく統合することを目標としていますが、重要でないアラートが多すぎて顧客が圧倒されるのを防ぐために偽陽性を減らすことを目指しています。
  秘密の空気  - 強力なデータとして報告されているため、行動データと同等であり、もはや直接的に実行可能ではないと想像できます。そして異常診断。 出力レイアウトは、人間が読めるという窮地で機械処理と集計が容易になるように設計されています。
 
  
 構成: