Mittn: 安全测试工具自动化运行器教程

Mittn: 安全测试工具自动化运行器教程

mittnMittn: Security test tool runner for test automation in CI项目地址:https://gitcode.com/gh_mirrors/mi/mittn

项目介绍

Mittn 是一个持续集成中安全测试工具的运行套件，旨在提供一种“温暖而舒适”的安全测试体验。它集合了多种安全测试工具，允许开发者和安全人员通过连续集成流程自动执行安全测试。Mittn采用Python开发，并利用Gherkin作为其测试场景的定义语言，从而实现了一种更加可读和易于维护的安全测试自动化方式。这个项目灵感来源于Gauntlt，并提倡在不深入理解底层工具配置的情况下，基于现有测试用例扩展新的安全测试，复用功能测试来驱动安全验证，以高效地聚焦于最具价值的探索性安全测试领域。

项目快速启动

在开始之前，请确保你已经安装了Git和Python环境。接下来，我们将快速搭建Mittn并运行一个基本的测试场景。

首先，克隆Mittn仓库到本地：

git clone https://github.com/WithSecureOpenSource/mittn.git
cd mittn

然后，你需要安装所需的依赖包。创建并激活一个虚拟环境是推荐的做法，以避免与系统其他Python库冲突：

python3 -m venv env
source env/bin/activate
pip install -r requirements.txt

接下来，你可以查看或编辑features目录下的.feature文件，这些文件定义了你的测试场景。假设我们有一个基础场景文件，你需要运行它，可以使用以下命令：

behave

此命令将执行features目录下所有.feature文件中的步骤定义，报告测试结果。

应用案例和最佳实践

案例一：Web应用安全扫描

为了保障Web应用的安全，Mittn可以整合如SSLyze进行SSL/TLS配置检查，或者与Radamsa结合进行API模糊测试。首先，明确你的安全测试需求，编写相应的Gherkin场景，例如：

Feature: SSL Configuration Check
    Scenario: Verify SSL certificate validity
        Given I run SSLyze on "example.com"
        Then the SSL certificate should be valid

最佳实践

• 分层次定义测试: 利用Gherkin的结构化优势，从高层次的业务需求向下细分测试步骤。
• 逐步积累测试用例: 根据实际发现的安全漏洞，不断添加新场景以丰富测试覆盖。
• 集成到CI/CD流程: 确保每次代码提交都能触发Mittn运行，及早发现问题。

典型生态项目

虽然Mittn本身是一个独立的项目，但它的设计鼓励与其他安全工具集成，比如SSLyze、Nmap等，形成一个强大的安全测试生态系统。此外，BDD-Security也是一个值得关注的项目，它同样采用了行为驱动的开发理念来实施安全测试，可以与Mittn的理念相辅相成，为安全测试提供更广阔的应用视野。

请注意，由于Mittn项目已被归档（最后更新日期为2024年1月2日），在实际应用中应当考虑其维护状态和兼容性问题，可能需要探索更新的替代方案或自行维护分支。

mittnMittn: Security test tool runner for test automation in CI项目地址:https://gitcode.com/gh_mirrors/mi/mittn