Sighthound

Was es tut

• Durchsucht Quellcode mit AST-bewussten Regeln nach Sicherheitsproblemen.
• Unterstützt den Suchmodus und den Taint-Modus (Quelle-zu-Senke-Verfolgung).
• Verarbeitet Projekte mit mehreren Dateien und parallele Ausführung.
• Gibt Ergebnisse als Text, JSON, CSV oder SARIF aus.
• Lädt eingebettete Regelpakete anhand der Dateierweiterung, mit optionalen dateibasierten benutzerdefinierten Regeln.

Sprachunterstützung

Derzeit nicht unterstützt: Razor (.cshtml), C/C++ (.c, .h).

Installation

Voraussetzungen:

• Rust 1.85+
• Git

Aus Quellcode erstellen:

git clone https://github.com/Corgea/Sighthound.git
cd Sighthound
cargo build --release

Binary-Pfad: target/release/sighthound

Linux-Container-kompatibler Release-Export:

DOCKER_BUILDKIT=1 docker build \
  --target export \
  --output type=local,dest=./sighthound_release \
  .

Oder führen Sie ./build_all_platforms.sh aus.

Schnellstart

# Sprachen automatisch erkennen und eingebettete Regeln ausführen
cargo run --bin sighthound -- /path/to/project

# Explizite Sprache + benutzerdefinierter Regelsatz-Pfad
cargo run --bin sighthound -- /path/to/project python rules/python

# Nur Taint-Scan und JSON-Ausgabe
cargo run --bin sighthound -- --taint-analysis --output-format json /path/to/project > findings.json

# SARIF-Ausgabe für GitHub Code Scanning
cargo run --bin sighthound -- --output-format sarif /path/to/project > results.sarif

CLI-Form:

sighthound [OPTIONS] <ROOT_DIR> [LANGUAGE] [RULES_PATH]

Führen Sie sighthound --help für die vollständige Optionsliste aus.

GitHub-Code-Scanning

Das Ausgabeformat sarif schreibt SARIF 2.1.0, das GitHub Code Scanning direkt verarbeitet. Laden Sie es aus einem Workflow hoch, damit Ergebnisse inline im Pull-Request und im Security-Tab des Repositorys angezeigt werden:

Führen Sie den Scan aus dem Repository-Stammverzeichnis aus und verwenden Sie . (oder den absoluten Pfad des Repository-Stammverzeichnisses) als <ROOT_DIR>, damit die SARIF-Artefakt-URIs repository-relativ bleiben.

- name: Run Sighthound
  run: sighthound --output-format sarif . > results.sarif
- name: Upload SARIF
  uses: github/codeql-action/upload-sarif@v3
  with:
    sarif_file: results.sarif

Regeln

Regeln werden in RON geschrieben und unterstützen beide:

• mode: "search" für Mustervergleich
• mode: "taint" für Quellen-/Senken-/Sanitizer-Analyse

Starten Sie hier:

• Regelschreibanleitung
• Verzeichnis der mitgelieferten Regeln

Entwicklung

Kernbefehle:

make check        # fix + format + lint + test + suppression report
make pre-commit   # staged Rust files (hook)
make pre-push     # push gate checks
make ci           # strict CI pipeline

Zusätzliche Qualitätskontrollen:

make complexity
make audit
make acceptance
cargo harness coverage --min=0
cargo harness crap --max=30

Einschränkungen

• Laufzeitbedingte Sicherheitslücken in dynamischen Codepfaden könnten übersehen werden.
• Sehr große Dateien können die Scanzeit verlängern.
• Mehrdateien-Taint wird unterstützt, ist aber noch ein Bereich, der weiter gehärtet werden muss.

Mitwirken

• Mitwirkungsleitfaden
• Verhaltenskodex
• Sicherheitsrichtlinie

Lizenz

• MIT-Lizenz
• Hinweise zu Drittanbietern