GoCD

Integre fácilmente el escaneo de seguridad automatizado de Ostorlab para aplicaciones móviles Android e iOS en su proceso de compilación de GoCd.

Uso:

Generar una clave API de Ostorlab

1. Vaya al menú de claves API
2. Haga clic en New API Key, asigne un nombre a la clave y elija su rol, luego haga clic en Create Key. También puede definir una fecha de caducidad.
3. Copie la clave desde el banner con Copy Key: solo se muestra una vez.

Agregar Ostorlab como una etapa de línea de comandos en GoCd

1. Diríjase a su Panel de GoCd y seleccione su pipeline.

   

2. Haga clic en Edit en su pipeline.

   

3. Seleccione Stages.

   

4. Agregue una nueva etapa (stage) y complete el formulario.

   • Para el tipo de Job inicial, seleccione Custom Command.
   • Y proporciónele los siguientes argumentos:
     • Command: bash
     • Arguments: |

       -c
       pip install ostorlab
       

   • Haga clic en guardar.

   

5. Navegue a la pestaña JOBS y seleccione su trabajo recién agregado.

6. Agregue una tarea más para ejecutar el trabajo.

   • Haga clic en agregar Task de tipo Custom Command.
   • Y proporciónele los siguientes argumentos:
     • Command: bash
     • Arguments: |

       -c
       ostorlab --api-key=$OSTORLAB_API_KEY ci-scan run --title=$Scan_Title --scan-profile=$SCAN_PROFILE android-apk /path/to/app.apk
       

       Consulte las Additional options a continuación para obtener la lista completa de opciones.

   

7. Agregar variables de entorno

   • Navegue a la pestaña ENVIRONMENT VARIABLES.
   • Agregue OSTORLAB_API_KEY como una Secure Variable.
   • Agregue las demás variables (Scan_Title, SCAN_PROFILE, ...) como Plain Text Variables.

   

Opciones adicionales

La siguiente es la lista completa de opciones para el comando ostorlab ci-scan run:

ostorlab --api-key <API_KEY> ci-scan run [options] <asset-type> <target>

• --api-key: Clave API generada por Ostorlab.

• --title: Título del escaneo (Scan title).

• --scan-profile: Tipo del escaneo. Las opciones posibles son:

  1. fast_scan: Solo ejecuta el análisis estático;
  2. full_scan: Ejecuta análisis estático, dinámico y de backend.

• Credenciales de prueba (Test credentials): Autenticación automática en el escaneo completo de análisis dinámico:

  • --test-credentials-login: Nombre de usuario que se utilizará en los campos de inicio de sesión;
  • --test-credentials-password: Contraseña que se utilizará en los campos de contraseña;
  • --test-credentials-role: Campo de rol opcional;
  • Credenciales de prueba personalizadas/genéricas:
    • --test-credentials-name: Nombre personalizado del campo;
    • --test-credentials-value: Valor personalizado del campo

• Credenciales 2FA (2FA Credentials):

  • SMS 2FA:
    • --sms-2fa-sender: Aprenda más sobre SMS 2FA
  • Email 2FA:
    • --email-2fa-sender-email-address, --email-2fa-email-address, --email-2fa-password: Aprenda más sobre Email 2FA
  • TOTP 2FA:
    • --totp-2fa-seed: Aprenda más sobre TOTP 2FA

• --sbom: Ruta al archivo sbom.

• Prompts de UI (Opcional): Ostorlab admite prompts de UI para guiar el escáner a través de la interfaz de usuario de su aplicación. Puede utilizar:

  • --ui-prompt-name y --ui-prompt-action: Defina un paso de UI especificando el nombre y la acción. Puede agregar múltiples pares para una secuencia de pasos. Por ejemplo:

    --ui-prompt-name accept-terms --ui-prompt-action "Scroll down and tap the 'Accept Terms' checkbox."
    --ui-prompt-name submit --ui-prompt-action "Tap the 'Submit' button to complete the login process."
    

  • --ui-prompt-id: Haga referencia a los flujos de prompts de UI existentes por sus IDs. Puede agregar múltiples IDs. Por ejemplo:

    --ui-prompt-id 123 --ui-prompt-id 456
    

• asset-type: Tipo de activo a escanear. Valores posibles:

  • android-aab: Escanear un archivo de paquete .AAB de Android;
  • android-apk: Escanear un archivo de paquete .APK de Android;
  • ios-ipa: Escanear un archivo de paquete .IPA de iOS;

• target: Ruta a la aplicación de destino.