Auditoria de Segurança de Código-Fonte
AÇÃO REQUERIDA (ler e executar imediatamente)
NOW: Ler../field-journal/precedent-pentest.mdou autorização de auditoria de códigoNOW: Confirmar acesso ao código-fonte/repositório (sem fonte, binário → redirecionar para skill RE)NOW: Identificar pilha de linguagem e escopo (diretório/serviço/diff de PR)NEXT:tool-index;semgrepetc.ACT: Esboço de modelagem de ameaças → escaneamento automático → verificação manual
Cenários de Aplicação
- Auditoria white-box, revisão de segurança de PR/diff
- SAST com Semgrep / CodeQL / Bandit / gosec etc.
- APIs perigosas, pontos de injeção, falta de autenticação, uso incorreto de criptografia
- Divisão com
supply-chain-security/: este skill foca na lógica do código próprio, enquanto supply chain foca em dependências e pipeline
Fluxo de Trabalho
1. Escopo e Modelo de Ameaças
□ Fronteiras de confiança: entrada do usuário, arquivos, desserialização, SSRF, middleware de autenticação
□ Ativos de alto valor: autenticação, pagamentos, painel administrativo, manipulação de chaves
2. Escaneamento Automático
semgrep --config auto .
# ou pacote de regras do projeto
semgrep --config p/owasp-top-ten .
3. Verificação Manual (OBRIGATÓRIA)
□ Cada achado do SAST: acessível? explorável? falso positivo?
□ Autenticação: IDOR/escalonamento de privilégios, falta de verificação, isolamento incorreto de multi-tenancy
□ Injeção: SQL/comando/template/LDAP
□ Criptografia: chaves hard-coded, ECB, crypto customizada
4. Resultados
Achado: localização + fluxo de dados + PoC + recomendação de correção
Opcional: IDs ATT&CK / CWE
Cadeia de Ferramentas
| Ferramenta | Linguagem/Cenário |
|---|---|
| Semgrep | Regras rápidas multi-linguagem |
| CodeQL | Fluxo de dados profundo (GitHub) |
| Bandit | Python |
| gosec / staticcheck | Go |
| SpotBugs / FindSecBugs | Java |
Referências
references/sast-review-checklist.md../supply-chain-security/../api-security/../llm-security/(código do agente)
Contexto de Roteamento
Upstream: MASTER R26
Papel: ops/role-map.md cae
Downstream: vulnerabilidade de dependência → supply-chain; validação em tempo de execução → pentest-tools
Auto-Verificação de Tarefa
- Verificação manual foi realizada, não apenas saída do scanner?
- Inclui recomendações de correção?
- Limitado ao escopo do repositório autorizado?
- Checklist?