# Faraday

##### Descripción

Faraday es una plataforma de gestión de vulnerabilidades que permite integrar resultados de herramientas de análisis de seguridad y centralizar reportes orientada a equipos de seguridad, pentesters y procesos de DevSecOps.

Permite:

- Consolidar hallazgos de múltiples herramientas de análisis.
- Gestionar y priorizar vulnerabilidades de forma centralizada.
- Colaborar en tiempo real en auditorías y pruebas de seguridad.

Funciona como un **servidor central** con una interfaz web y un cliente CLI (`faraday-cli`) que facilita la autenticación, gestión de workspaces y la carga automática de reportes a la plataforma, lo que permite integrarlo en pipelines de CI/CD. Soporta múltiples formatos de reportes y herramientas de seguridad, como Trivy, OpenVAS, Nessus, Burp Suite, etc.

##### Uso local

Faraday se puede ejecutar localmente mediante Docker o instalación directa en Linux.  
Ejemplo con Docker:

```
docker run -it -p 5985:5985 -v faraday_data:/home/faraday/.faraday faradaysec/faraday
```

CLI básico

**Iniciar sesión**:

```
faraday-cli auth login --server https://<host>:5985 --username faraday --password <pass>
```

**Subir un reporte**:

```
faraday-cli tool report ./trivy-report.json --workspace <workspace>
```

**Listar workspaces**:

```
faraday-cli workspace list
```

##### Reportes

Faraday procesa los reportes de herramientas de seguridad y los almacena en un **workspace**.

- **Ubicación de datos**: Principalmente en la sección **Assets**, donde se relacionan vulnerabilidades con hosts, servicios o aplicaciones.
- **Dashboard**: No siempre muestra todo automáticamente, ya que prioriza métricas y gráficos generales.
- **Formatos soportados**: XML, JSON, CSV y formatos nativos de herramientas como Nessus, OpenVAS, Trivy, Burp, Nmap, etc.

##### Integración en CI/CD

Faraday puede integrarse en pipelines para subir reportes automáticamente después de un escaneo.

```
      - name: Generate Trivy Filesystem Report
        uses: aquasecurity/trivy-action@master
        with:
          scan-type: fs
          output: trivy-fs-report.json
          format: json
          scan-ref: .
          exit-code: 0

      - name: Upload Trivy reports
        run: |
          faraday-cli tool report -w "$WORKSPACE" trivy-fs-report.json
```

##### Integraciones

- **Herramientas compatibles**: Trivy, OpenVAS, Burp Suite, Nessus, Nikto, Nmap, OWASP ZAP, etc.
- **Colaboración**: Slack, Jira y otros mediante API.
- **Automatización**: API REST para crear workspaces, subir hallazgos y consultar datos.

##### UI

- Interfaz web accesible desde cualquier navegador.
- Funcionalidades:
    
    
    - Vista de **Assets** y vulnerabilidades asociadas.
    - **Dashboard** con métricas, severidad y gráficos.
    - Administración de **workspaces**, usuarios y roles.
    - Filtros avanzados para priorizar hallazgos.

##### Licencia

- Faraday **Community Edition**: Licencia GPLv3 (código abierto).
- Faraday **Professional &amp; Corporate**: Licencia comercial con características avanzadas.

##### Facilidad de uso

- **Ventajas**:
    
    
    - Compatible con una gran variedad de herramientas.
    - CLI intuitiva y scripts de automatización.
    - Dashboard centralizado para equipos.
- **Desafíos**:
    
    
    - Requiere configuración inicial de SSL y credenciales.
    - Algunos formatos de reporte necesitan preprocesado, tienes que asegurarte de que esté en un formato estructurado y limpio que Faraday pueda leer.

##### Cumplimiento con estándares

Faraday no certifica por sí mismo estándares, pero **facilita el cumplimiento** al centralizar la gestión de vulnerabilidades y permitir auditorías trazables.

- **OWASP**: Compatible con flujos de seguridad recomendados, soporta OWASP ZAP y otras herramientas.
- **NIST 800-53 / 800-115**: Permite documentar, priorizar y remediar vulnerabilidades según guías NIST.
- **ISO 27001**: Ayuda a implementar controles de seguridad relacionados con la identificación y tratamiento de riesgos.