Ir al contenido principal

Faraday

Descripción

Faraday es una plataforma de gestión de vulnerabilidades que permite integrar resultados de herramientas de análisis de seguridad y centralizar reportes orientada a equipos de seguridad, pentesters y procesos de DevSecOps.

Permite:

  • Consolidar hallazgos de múltiples herramientas de análisis.

  • Gestionar y priorizar vulnerabilidades de forma centralizada.

  • Colaborar en tiempo real en auditorías y pruebas de seguridad.

Funciona como un servidor central con una interfaz web y un cliente CLI (faraday-cli) que facilita la autenticación, gestión de workspaces y la carga automática de reportes a la plataforma, lo que permite integrarlo en pipelines de CI/CD. Soporta múltiples formatos de reportes y herramientas de seguridad, como Trivy, OpenVAS, Nessus, Burp Suite, etc.

Uso local

Faraday se puede ejecutar localmente mediante Docker o instalación directa en Linux.
Ejemplo con Docker:

docker run -it -p 5985:5985 -v faraday_data:/home/faraday/.faraday faradaysec/faraday

CLI básico

Iniciar sesión:

faraday-cli auth login --server https://<host>:5985 --username faraday --password <pass>

Subir un reporte:

faraday-cli tool report ./trivy-report.json --workspace <workspace>

Listar workspaces:

faraday-cli workspace list
Reportes

Faraday procesa los reportes de herramientas de seguridad y los almacena en un workspace.

  • Ubicación de datos: Principalmente en la sección Assets, donde se relacionan vulnerabilidades con hosts, servicios o aplicaciones.

  • Dashboard: No siempre muestra todo automáticamente, ya que prioriza métricas y gráficos generales.

  • Formatos soportados: XML, JSON, CSV y formatos nativos de herramientas como Nessus, OpenVAS, Trivy, Burp, Nmap, etc.

Integración en CI/CD

Faraday puede integrarse en pipelines para subir reportes automáticamente después de un escaneo.

      - name: Generate Trivy Filesystem Report
        uses: aquasecurity/trivy-action@master
        with:
          scan-type: fs
          output: trivy-fs-report.json
          format: json
          scan-ref: .
          exit-code: 0

      - name: Upload Trivy reports
        run: |
          faraday-cli tool report -w "$WORKSPACE" trivy-fs-report.json
Integraciones

  • Herramientas compatibles: Trivy, OpenVAS, Burp Suite, Nessus, Nikto, Nmap, OWASP ZAP, etc.

  • Colaboración: Slack, Jira y otros mediante API.

  • Automatización: API REST para crear workspaces, subir hallazgos y consultar datos.

UI

  • Interfaz web accesible desde cualquier navegador.

  • Funcionalidades:

    • Vista de Assets y vulnerabilidades asociadas.

    • Dashboard con métricas, severidad y gráficos.

    • Administración de workspaces, usuarios y roles.

    • Filtros avanzados para priorizar hallazgos.

Licencia

  • Faraday Community Edition: Licencia GPLv3 (código abierto).

  • Faraday Professional & Corporate: Licencia comercial con características avanzadas.

Facilidad de uso

  • Ventajas:

    • Compatible con una gran variedad de herramientas.

    • CLI intuitiva y scripts de automatización.

    • Dashboard centralizado para equipos.

  • Desafíos:

    • Requiere configuración inicial de SSL y credenciales.

    • Algunos formatos de reporte necesitan preprocesado, tienes que asegurarte de que esté en un formato estructurado y limpio que Faraday pueda leer.

Cumplimiento con estándares

Faraday no certifica por sí mismo estándares, pero facilita el cumplimiento al centralizar la gestión de vulnerabilidades y permitir auditorías trazables.

  • OWASP: Compatible con flujos de seguridad recomendados, soporta OWASP ZAP y otras herramientas.

  • NIST 800-53 / 800-115: Permite documentar, priorizar y remediar vulnerabilidades según guías NIST.

  • ISO 27001: Ayuda a implementar controles de seguridad relacionados con la identificación y tratamiento de riesgos.

Volver arriba