Faraday v3.0 – Prueba de penetración colaborativa y plataforma de administración de vulnerabilidades

0
18

Esta nueva versión ha realizado importantes cambios arquitectónicos para adaptar el software a los nuevos desafíos de la ciberseguridad. Se enfoca en procesar grandes volúmenes de datos y facilitar la interacción del usuario con Faraday en su entorno.

Faraday acaba de llegar mucho más rápido

La arquitectura cambia y una nueva base de datos (PostgreSQL) nos brinda una estructura nueva y renovada que nos permite admitir nuevos objetos y un mayor volumen de datos. Esto mejora drásticamente la mayoría de los servicios de back-end que impactan directamente su uso diario …

Los grandes cambios requieren tiempo

La cantidad total de trabajo, en términos de compromisos, para la migración consistió en el 29% del trabajo total realizado para el proyecto hasta el día de hoy. Cambiamos y revisamos alrededor de 75440 líneas de código, incluida la suma de muchas pruebas unitarias.

 

Compromisos por semana en el repositorio de código de faraday de julio de 2017 a junio de 2018

Qué hay de nuevo en Backend
Nuevo servidor: implementado con Flask.
Nuevo motor de base de datos: PostgreSQL.
Nueva API REST: con soporte completo para CRUD para cada objeto de Faraday. Hace que sea más fácil hacer consultas para el DB y abre nuevas formas de integraciones personalizadas. Ejecute python manage.py show_urls para ver todos nuestros nuevos puntos finales API.

Ejemplo de uso para obtener hosts de la nueva API:

curl 'http://localhost:5985/_api/v2/ws/europe/hosts'  -H 'Cookie: AuthSession=[COOKIE]; session=[COOKIE];'

Mejor escalabilidad y mejoras de rendimiento. Hay una reducción drástica en el tiempo necesario para las búsquedas en nuestra API y con la nueva arquitectura es significativamente más fácil escalar horizontalmente.

Lo nuevo en el frente

Para esta versión, escuchamos los comentarios de nuestros usuarios para hacer que Faraday sea más amigable con un enfoque principal en hacer que los datos específicos estén más disponibles y una interfaz más rápida.

El nuevo tablero

El nuevo panel se ha organizado con un nuevo diseño para mostrar primero la información relevante, lo que ayuda a los usuarios a encontrar puntos vulnerables en su área de trabajo.

 

Informe de estado actualizado

Cambió y simplificó el diseño del informe de estado:

 

Rediseño de la lista de hosts

Ahora puede agregar y eliminar columnas, además de ver y filtrar por nombres de host y servicios:

 

Pequeñas mejoras que hacen tu día

Importa salidas de escaneo directamente desde la interfaz de usuario web.
Ahora puede importar los resultados de sus escaneos directamente en nuestra IU web:

 

Consulte aquí un video sobre la carga de informes desde WebGUI:

 

Importar salidas de escaneo mediante API.
Aquí hay un ejemplo de la nueva API:

Faraday v3.0 – Collaborative Penetration Test and Vulnerability Management Platform

This new version has made major architectural changes to adapt the software to the new challenges of cybersecurity. It focuses on processing large volumes of data and facilitating user interaction with Faraday in their environment.

Faraday just got much faster
Architecture changes and a new database (PostgreSQL) gives us a new and revamped structure that allows us to support new objects and a bigger data volume. This dramatically improves most of the backend services that directly impact your day-to-day use…
Big changes require time
The total amount of work, in terms of commits, for the migration consisted of 29% of the total work done for the the project to this day. We changed and reviewed around 75440 lines of code, including the addition a lot of unit tests.
Commits per week on faraday code repository from July 2017 to June 2018

What’s new on the Backend

  • New Server: Implemented with Flask.
  • New Database engine: PostgreSQL.
  • New REST API: With complete support for CRUD for every object from Faraday. It makes it simpler to do queries for the DB and it opens up new ways for personalized integrations. Run python manage.py show_urls to see all our new API endpoints.

Example usage for getting hosts from the new api:

curl 'http://localhost:5985/_api/v2/ws/europe/hosts'  -H 'Cookie: AuthSession=[COOKIE]; session=[COOKIE];'
  • Better scalability and performance improvements. There’s a drastic reduction in time needed for searches in our API and with the new architecture it’s significantly easier to scale-up horizontally.
What’s new on the front
For this version we listened to feedback from our users to make Faraday friendlier with a major focus on making specific data more readily available and a faster interface.
The new dashboard
The new dashboard has been organized with a new layout to show relevant information first, helping users to find vulnerable spots in their workspace.

Updated Status Report

Changed and simplified the status report design:

Redesign of the hosts list

Now you can add and remove columns, plus see and filter by hostnames and services:

Small improvements that make your day

  • Imports Scan Outputs directly from the Web UI.
    • Now you can import results from your scans directly on our Web UI:

Check here a video about report upload from WebGUI:

 

curl 'http://127.0.0.1:5985/_api/v2/ws/test/upload_report' -H 'Content-Type: multipart/form-data' -H 'Cookie: AuthSession=[COOKIE]; session=[COOKIE];' --data-binary $’[FILE BINARY DATA]’ --compressed

Dramáticas mejoras de rendimiento.
Simplificación del modelo que usamos. Diga “adios” al objeto de interfaz.
Acceda al servidor usando “/” en lugar de / _ui /.
Posibilidad de editar los nombres de los espacios de trabajo.

Nuevos complementos
HP WebInspect
IP360
Sslyze
Wfuzz
Xsssniper
Brutexss
Recon-NG
Sublist3r
Dirsearch

Lista completa de cambios
Permitir que faraday-server tenga varias instancias
Añadir nombre de host a host
Interfaz eliminada del modelo y del servidor de persistencia lib (fplugin)
Mejoras de rendimiento en el backend
Agregar nombre de espacio de trabajo de cambio rápido (desde todas las vistas)
Permitir al usuario cambiar el espacio de trabajo
Nuevos estilos de faraday en todas las vistas de Webui
Agregar búsqueda por id por vulnerabilidades
Agregar nuevo complemento Sslyze
Agregar nuevo plugin Wfuzz
Añadir el complemento xsssniper
Arreglar W3af, complementos Zap
Añadir el complemento Brutexss
Permitir cargar archivo de informe desde herramientas externas desde la web
Arreglar el archivo de importación sshcheck de GTK
Añadir complemento reconng
Añadir el complemento sublist3r
Agregue el complemento HP Webinspect
Añadir el plugin dirsearch
Añadir el complemento ip360
CouchDB fue reemplazado por PostgreSQL 🙂
El objeto de host cambió, ahora la propiedad del nombre se llama ip
Objeto de interfaz eliminado
El objeto de nota se eliminó y se reemplazó con Comment
El objeto de comunicación se eliminó y se reemplazó con Comment
Mostrar el recuento de credenciales en el informe resumido en el tablero
Elimina los campos vulgares de la plantilla CWE, únelos con referencias
Permitir buscar hosts por nombre de host, sistema operativo y nombre del servicio
Permitir al usuario especificar los campos deseados de la tabla de lista de host
Agregue nombres de host, servicios, MAC y campos de descripción opcionales a la lista de hosts
Los nombres de los espacios de trabajo se pueden cambiar desde la interfaz de usuario web
Se modificó el campo del alcance de un espacio de trabajo de una entrada de texto libre a una lista de objetivos
Los campos de explotación y gravedad solo permiten ciertos valores.
Los CVE CVE se corrigieron para que fueran válidos. Se agregó una secuencia de comandos para convertir CSV personalizados.
La ruta de la IU web cambió de / ui / a / (ui ahora tiene una redirección a / para mantener la compatibilidad con versiones anteriores)
El complemento dirb debe crear una información de tipo de vulnerabilidad en lugar de una nota.
Agregue la columna confirmada al CSV exportado de Webui
Correcciones en el plugin Arachni
Agregue nuevos parámetros –keep-old y –keep-new para faraday CLI
Agregar nueva captura de pantalla fplugin que toma una captura de pantalla de la ip: puertos de un protocolo dado
Agregue la corrección para net sparker regular y corrección de la nube en la gravedad
Los usuarios administradores pueden enumerar y acceder a todos los espacios de trabajo, incluso si no tienen permisos
Se eliminó la función de chat (los datos se guardan en las notas)
Los informes de complementos ahora se pueden importar en el servidor, desde la interfaz de usuario web
Agregue puntaje CVSS al campo de referencia en el complemento Nessus.
Se corrigió el error de caracteres unicode en el plugin de Netsparker.
Corrige el plugin de Qualys.
Corrige errores con MACOS y GTK.
Agregar campo de respuesta agregado al modelo en la plantilla de informe agrupado.
Agregue información sobre herramientas en WebUi con información sobre errores en el informe ejecutivo.
Ldap ahora inicia sesión con [email protected], no solo usuario nunca más.
Corregir errores de Jira en WebUi

https://www.faradaysec.com
https://forum.faradaysec.com/
https://www.faradaysec.com/ideas
https://github.com/infobyte/faraday
https://twitter.com/faradaysec

Fuente: Kitploit

Dejar respuesta

Please enter your comment!
Please enter your name here