Benachrichtigungen an Slack, Teams und Webhooks

1. 1Öffnen Sie Team, dann Integrationen, und fügen Sie Slack, Microsoft Teams oder einen Webhook hinzu.
2. 2Wählen Sie die Benachrichtigungen aus, die ankommen sollen, und klicken Sie auf Test senden, um zu prüfen, ob die Nachricht ankommt.
3. 3Sobald ein geplanter Scan oder eine Überwachung etwas findet, sendet Scanverra die Benachrichtigung direkt nach Abschluss des Laufs.

Scans, die jemand von Hand startet, senden keine Benachrichtigungen. Planen Sie die Websites und Repositories, die überwacht werden sollen, auf der Seite Geplante Scans.

1. 1Lesen Sie den Request-Inhalt genau so, wie er angekommen ist, vor jedem JSON-Parsing.
2. 2Berechnen Sie den HMAC-SHA256 aus dem Zeitstempel-Header, einem Punkt und dem unveränderten Inhalt, mit dem Geheimnis als Schlüssel.
3. 3Vergleichen Sie ihn in konstanter Zeit mit dem Signatur-Header und lehnen Sie Anfragen ab, deren Zeitstempel älter als 5 Minuten ist.

import crypto from "node:crypto";
import express from "express";

const SECRET = process.env.SCANVERRA_WEBHOOK_SECRET; // whsec_...
const app = express();

// express.raw keeps the exact bytes Scanverra signed.
app.post("/scanverra", express.raw({ type: "application/json" }), (req, res) => {
  const timestamp = req.get("X-Scanverra-Timestamp") ?? "";
  const signature = req.get("X-Scanverra-Signature") ?? "";
  const expected = "sha256=" + crypto
    .createHmac("sha256", SECRET)
    .update(`${timestamp}.${req.body}`)
    .digest("hex");

  const fresh = Math.abs(Date.now() / 1000 - Number(timestamp)) <= 300;
  const valid = signature.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));
  if (!fresh || !valid) return res.sendStatus(401);

  const alert = JSON.parse(req.body);
  console.log(alert.event, alert.summary);
  res.sendStatus(204); // answer fast, do slow work afterwards
});

app.listen(3000);

Weil der Zeitstempel mitsigniert wird, kann eine abgefangene Anfrage später nicht erneut abgespielt werden.

• Antworten Sie innerhalb von 5 Sekunden mit einem beliebigen 2xx-Status. Erledigen Sie langsame Arbeit nach der Antwort.
• Jede Benachrichtigung wird einmal gesendet und nicht wiederholt. Der Bereich Integrationen zeigt, ob die letzte Zustellung geklappt hat.
• Weiterleitungen werden nicht verfolgt, verwenden Sie also die endgültige URL.
• Es werden nur öffentliche HTTPS-Adressen akzeptiert. Slack-URLs müssen auf hooks.slack.com liegen, Teams-URLs auf webhook.office.com oder Power Automate.
• Die Benachrichtigungen enden für das ganze Team, wenn sein Team- oder Enterprise-Tarif ausläuft.