Esempio di installazione SonarQube 8.x

Questo è un esempio di sequenza di installazione che ho provato per SonarQube su di una macchina virtuale, anche se è tutto descritto nella guida sul sito https://docs.sonarqube.org/latest/

Requisiti:
pc linux 64bit
JDK v.11
Node.js 9.2.0
MS Sqlserver 2016 (express free facilmente scaricabile dal sito Microsoft)

Per le finestre dos ho utilizzato sempre la modalità di amministratore.

Controllare se già si ha la jdk v11 che sia presente la variabile d'ambiente ad esempio: JAVA_HOME=C:\Program Files\Java\jdk-11.0.5
Controllare anche la variabile PATH aggiornata con "%JAVA_HOME%\bin"
Scaricare e installare Node.js 9.2.0
Scaricare e installare MS Sqlserver 2016 con il Management Studio
Creare un database "sonar"
Creare un utente owner del db come ad esempio "sonarqube" e psw "sonarqube"
Eseguire MMC SqlServer Manager Console e selezionare "gestione configurazione sqlserver 2016"
Attivare TCP/IP inserendo anche una porta statica libera come 1434 su IPALL e porta dinamica vuota

Riavviare il servizio e attivare se disattivato il servizio web browser di SqlServer
Scaricare SonarQube 8.x e copiarlo su di una directory

Modificare il file "sonar.properties" sotto "c:\sonarqube8\conf"

sonar.jdbc.url=jdbc:sqlserver://localhost:1434;databaseName=sonar
sonar.jdbc.username=sonarqube
sonar.jdbc.password=sonarqube
sonar.web.javaOpts=-server -Xmx768m
sonar.web.port=9000
sonar.search.port=9004

Prima di avviare SonarQube controllare che il file «/bin/Windows[ver]/lib/wrapper.dll» non sia bloccato a causa del download
(tasto destro su file-> proprietà -> Annulla blocco se presente)
Far partire solamente la prima volta il StartSonar.bat (sotto \bin scegliere il s.o.)
Verificare il funzionamento collegandosi con http://localhost:9000

In caso di problemi sul numero della porta 9000, utilizzare per la web port la 9040 e per la search port la 9004

Eseguire il login con l’utenza «admin» «admin»

MobSF sequenza di installazione

Dopo vari tentativi leggendo la guida qui questa è la sequenza corretta per l'installazione di MobSF su di un Ubuntu o Kali-Linux (attenzione che ad oggi va bene solamente Python 3.6 - 3.7 come da guida qui).
Dopo aver scaricato da qui su di un folder a piacere.
Tutto da terminale:
sudo apt-get install git
sudo apt update
sudo apt-get install python3.6
sudo apt-get install python3-pip
#eventuale jdk se non installata che normalmente si ha la 11:
sudo apt-get install openjdk-8-jdk
sudo apt install python3-venv python3-pip python3-dev build-essential libffi-dev libssl-dev libxml2-dev libxslt1-dev libjpeg8-dev zlib1g-dev wkhtmltopdf
#io ho installato solamente: sudo apt install python3-venv build-essential libssl-dev libxml2-dev libxslt1-dev zlib1g-dev wkhtmltopdf
sudo apt-get install lib32stdc++6
sudo apt-get install android-tools-adb
git clone https://github.com/MobSF/Mobile-Security-Framework-MobSF.git
#si va sulla directory con:
cd Mobile-Security-Framework-MobSF
#si installa con:
./setup.sh

#se si è sulla macchina virtuale allora aggiungere l'utente con:
sudo adduser $USER vboxsf

#se si hanno problemi con la versione python 3.6 che non si riesce ad installare allora utilizzare conda:
Qui la guida: https://docs.conda.io/en/latest/miniconda.html
bash Miniconda3-latest-Linux-x86_64.sh
chiudere e riaprire il terminale
#per testare se funziona
conda list
#digitare:
conda install python=3.6.9
#adesso tutti e due python devono avere 3.6.9
riavviare la macchina
python --version
python3 --version
#da terminale sulla directory di MobSF e farlo partire:
./run.sh
navigare su http://localhost:8000/
#per lo stop
ctrl+c

CyberSecurity alternative free per l'analisi del software

Scrivere software sicuro non è cosa solamente cosa buona e giusta, ma anche saggia.
Le best practices di OWASP e la lista CWE sono le benvenute.
Valide alternative free sperimentate sul campo sono state SonarQube più che altro per le web application che permette di agganciare molti progetti o solutions sviluppati nei diversi linguaggi di programmazione.
Per il Mobile l'alternativa free MobSF non è stata male sia per app Android che app iOS (Swift e Objective C). MobSF permette l'analisi statica (prorio sul codice classi metodi) e dinamica (navigazione con le funzionalità).
Altro tool per controllare ciò che passa tra le app e il web è OWASP Zed Attack Proxy