Framework-bewusstes statisches Code-Analyse-Tool für automatisierte Quellcode-Reviews mit plattformspezifischen Regeln, Taint-Analyse, Aufwandsabschätzung und Unterdrückungsbaselines.
Author:
- Debasis Mohanty ([email protected])
- Twitter / X: @coffeensecurity
- www.coffeeandsecurity.com
Daksh SCRA (Source Code Review Assist) wurde entwickelt, um die Effizienz des Quellcode-Review-Prozesses zu steigern und bietet einen gut strukturierten und organisierten Ansatz für Code-Reviewer.
Anstatt alles unterschiedslos als potenzielles Problem zu kennzeichnen, fördert Daksh SCRA eine durchdachte Analyse und drängt dazu, potenzielle Probleme zu untersuchen und zu bestätigen. Dieser Ansatz mildert das hektische Bestreben, jede potenzielle Besorgnis als Bug zu markieren, und reduziert die Verwirrung und die verschwendete Zeit durch False Positives.
Daksh SCRA wurde ursprünglich während einer Quellcode-Review-Schulungssitzung auf der Black Hat USA 2022 (6.–9. August) vorgestellt, wo es einem bestimmten Publikum dezent präsentiert wurde. Sein offizielles öffentliches Debüt fand auf der Black Hat USA 2023 in Las Vegas statt.
DakshSCRA vereint unverwechselbare Fähigkeiten für manuelles Quellcode-Review, von Dateipfad-Interessenbereichen und Aufwandsschätzung bis hin zu Software-Reconnaissance, kontextuellen Regeln und dateiübergreifender Analyse.
| Funktion | Tag | Warum es wichtig ist |
|---|---|---|
| Dateipfad-Interessenbereiche | Weltweit erster* | Durchsucht Datei- und Verzeichnisnamen selbst, neben dem Code, um verdächtige Pfade wie Backup-Dateien, Debug-Endpunkte, Konfigurations-Dumps und Credential-Dateien zu kennzeichnen, die Reviewer oft übersehen. |
| Wissenschaftliche Aufwandsschätzung | Weltweit erster* | Erzeugt eine quantifizierte Schätzung des manuellen Review-Aufwands basierend auf Codebasis-Größe und Projektsignalen. Konfigurierbare Annahmen machen die Engagement-Planung explizit und wiederholbar. |
| Interessenbereiche, keine Bug-Flags | Reviewer behält die Kontrolle | Zeigt Muster auf, die eine Untersuchung wert sind, anstatt jeden Treffer als Schwachstelle zu markieren. Kontextuelle Regeln und Unterdrückungsnachweise reduzieren Triage-Rauschen und lassen den Reviewer die Kontrolle behalten. |
| Software-Reconnaissance | Integrierte Software-Recon | Erkennt Sprachen, Frameworks und Infrastruktur aus Dateiinhalten und Projektstruktur vor dem Scannen. Verbindet das Technologie-Inventar mit automatischer Regelauswahl, semantischer Analyse und Review-Planung. |
| RDL-Bedingungsregeln | Erweiterte Bedingungsregeln | Geht über einfache Regex hinaus mit PRESENT-, MISSING-, booleschen Ausdrücken und Datei-/Pfad-Bedingungen. RDL v1 zeichnet Entscheidungen und Unterdrückungsgründe auf; RDL v2 fügt typisierte semantische Dienste und begrenzte dateiübergreifende Nachweise hinzu. |
| Erweiterte semantische und dateiübergreifende Analyse | Von Grund auf neu entwickelt | Verfolgt benutzergesteuerte Daten von der Quelle bis zur Senke über unterstützte Dateigrenzen hinweg mit zweckgebauter Analyse. Advanced Analysis wurde zusammen mit dem ursprünglichen RDL im März 2026 ausgeliefert; RDL v2 erweitert die semantische Regelauswertung über Dateien hinweg. |
| Plattformunabhängiges Auto-Scanning | Automatisch Multi-Plattform | Verwenden Sie -r auto, um gemischte Technologieprojekte zu scannen, ohne vorher eine einzelne Sprache auszuwählen. Recon wählt unterstützte Plattform- und Framework-Regeln automatisch aus. Eingeführt in v0.23-beta, November 2024. |
| Anwendungsspezifische Sicherheitslogik | Benutzerdefinierte RDL-Pakete | Kodieren Sie Anwendungs-Vertrauensgrenzen, Autorisierungsentscheidungen und Geschäftsinvarianten in optionalen benutzerdefinierten RDL-Paketen. Projektspezifische Logik läuft neben den generischen Scan-Regeln. |
| Interaktive Text- und Graph-Nachweise | Den Nachweisen folgen | Folgen Sie aufgezeichneten Source-to-Sink-Pfaden in verknüpften Text- und Graph-Ansichten. Quellcode-Auszüge, Dateispuren und Übergabedetails erleichtern die Untersuchung dateiübergreifender Nachweise. |
| Review-Lebenszyklus und portable Berichte | Review, Fortsetzen und Exportieren | Behalten Sie den Scan-Verlauf, Review-Unterdrückungen bei und setzen Sie unterbrochene Scans fort. Exportieren Sie HTML, PDF, bearbeitbares Word und JSON über gemeinsame CLI- und Web-UI-Berichte, mit Offline-Nachweisnavigation, wo verfügbar. |