Faraday 漏洞管理平台

这个 Agent 能做什么，适合哪些场景？

Faraday 是一个开源的漏洞管理平台，由 Infobyte 在拉丁美洲开发，采用 GPL-3.0 许可。它把社区里各种安全工具的扫描结果聚合、归一化，并整理进多用户共享的工作区，再以面向管理者与分析师的仪表盘和可视化方式呈现。它由服务端（faraday-server）、数据库管理命令（faraday-manage initdb）、Web 界面（默认 http://localhost:5985）以及命令行客户端 faraday-cli 组成。团队既可以用 faraday-cli tool run 直接执行扫描器，也可以用 faraday-cli tool report 导入已有的 XML/JSON 报告。通过 Faraday Agents Dispatcher 还能从平台远程调度扫描工具并回收结果。

Faraday 读取并归一化来自安全工具的输出：Console 插件解释你执行的工具输出，例如 faraday-cli tool run "nmap www.exampledomain.com" 会把 Nmap 结果发送到指定工作区；Report 插件则导入已生成的产物，例如 faraday-cli tool report burp.xml。仓库说明目前支持 80 多个工具（完整列表在 Plugin-List 页面）。数据进入工作区后，可在 Web 界面中做多用户协作与不同可视化查看，也可通过 faraday-cli 获取工作区指标。服务端通过 faraday-manage initdb 初始化数据库，faraday-server 启动后监听 5985 端口，浏览器登录用户名为 faraday，密码由安装过程给出。远程执行由 Faraday Agents Dispatcher 提供。API 文档与 faraday-cli 文档均有公开地址。

1. 安全团队：多个渗透测试人员同时作业，需要把各自扫描结果汇总到同一工作区，避免用表格人工合并。
2. DevSecOps 工程师：在 GitHub、Jenkins、TravisCI、GitLab 流水线中接入 Bandit、OWASP ZAP、SonarQube，把结果落到 Faraday 统一跟踪。
3. 安全管理者：需要面向管理层的仪表盘和漏洞指标，而不是阅读原始扫描输出。
4. 分析师：手里已有 Burp 的 XML 报告，希望直接导入并在可视化界面里分析，而不是只看文本。
5. 自动化工程师：用 faraday-cli 从终端脚本或 CI 任务里获取工作区指标、触发扫描。
6. 需要远程调度的团队：用 Faraday Agents Dispatcher 从平台远程运行扫描器并回收结果。

如何安装或部署这个 Agent？

最快的方式是官方 docker-compose 示例，先下载再启动：

wget https://raw.githubusercontent.com/infobyte/faraday/master/docker-compose.yaml
docker-compose up

也可以用 Docker 单独运行，但需要先准备好 PostgreSQL：

docker run \
    -v $HOME/.faraday:/home/faraday/.faraday \
    -p 5985:5985 \
    -e PGSQL_USER='postgres_user' \
    -e PGSQL_HOST='postgres_ip' \
    -e PGSQL_PASSWD='postgres_password' \
    -e PGSQL_DBNAME='postgres_db_name' \
    faradaysec/faraday:latest

PyPi 安装方式：

pip3 install faradaysec
faraday-manage initdb
faraday-server

Debian/RPM 包可在 releases 页面下载：

sudo apt install faraday-server_amd64.deb
faraday-manage initdb
sudo systemctl start faraday-server

从源码运行：

pip3 install virtualenv
virtualenv faraday_venv
source faraday_venv/bin/activate
git clone [email protected]:infobyte/faraday.git
pip3 install .
faraday-manage initdb
faraday-server

安装后把用户加入 faraday 组。注意：升级或部署细节请以官方安装文档为准。

如何使用这个 Agent？

启动服务后，在浏览器访问默认地址并以 faraday 用户登录（初始密码由安装过程给出）：

http://localhost:5985

安装命令行客户端：

pip3 install faraday-cli

直接用 Faraday 执行工具并把结果送进工作区：

faraday-cli tool run "nmap www.exampledomain.com"

导入已生成的扫描报告：

faraday-cli tool report burp.xml

这个 Agent 有哪些优点和局限？

这个 Agent 与同类方案有什么区别？

与相关度最高的同类 agent 并排比较关键指标。

FollowAgents 如何评估这个 Agent？

常见问题