coffeeandsecurity/dakshscraHerramienta de análisis estático de código sensible al framework para la revisión automatizada del código fuente con reglas específicas de plataforma, análisis de contaminación, estimación de esfuerzo y líneas de base de supresión.
Author:
- Debasis Mohanty ([email protected])
- Twitter / X: @coffeensecurity
- www.coffeeandsecurity.com
Daksh SCRA (Source Code Review Assist) está diseñado para mejorar la eficiencia del proceso de revisión de código fuente, proporcionando un enfoque bien estructurado y organizado para los revisores de código.
En lugar de marcar indiscriminadamente todo como un posible problema, Daksh SCRA promueve un análisis reflexivo, instando a la investigación y confirmación de problemas potenciales. Este enfoque mitiga la carrera por etiquetar cada posible preocupación como un error, reduciendo la confusión y el tiempo perdido en falsos positivos.
Daksh SCRA se presentó inicialmente durante una sesión de capacitación en revisión de código fuente en Black Hat USA 2022 (6-9 de agosto), donde se presentó sutilmente a una audiencia específica. Su debut público oficial tuvo lugar en Black Hat USA 2023 en Las Vegas.
DakshSCRA reúne capacidades distintivas para la revisión manual de código fuente, desde áreas de interés en rutas de archivos y estimación de esfuerzo hasta reconocimiento de software, reglas contextuales y análisis entre archivos.
| Característica | Etiqueta | Por qué es importante |
|---|---|---|
| Áreas de interés en rutas de archivos | Primero en el mundo* | Escanea los nombres de archivos y directorios en sí, junto con el código, para marcar rutas sospechosas como archivos de respaldo, endpoints de depuración, volcados de configuración y archivos de credenciales que los revisores suelen pasar por alto. |
| Estimación científica del esfuerzo | Primero en el mundo* | Produce una estimación cuantificada del esfuerzo de revisión manual basada en el tamaño del código base y las señales del proyecto. Los supuestos configurables hacen que la planificación del compromiso sea explícita y repetible. |
| Áreas de interés, no marcadores de errores | El revisor tiene el control | Expone patrones que vale la pena investigar en lugar de etiquetar cada coincidencia como una vulnerabilidad. Las reglas contextuales y la evidencia de supresión reducen el ruido de triaje y mantienen al revisor en control. |
| Reconocimiento de software | Reconocimiento de software integrado | Detecta lenguajes, frameworks e infraestructura a partir del contenido de los archivos y la estructura del proyecto antes de escanear. Conecta el inventario tecnológico con la selección automática de reglas, el análisis semántico y la planificación de la revisión. |
| Reglas condicionales RDL | Reglas condicionales avanzadas | Va más allá de la simple regex con PRESENT, MISSING, expresiones booleanas y condiciones de archivo/ruta. RDL v1 registra decisiones y motivos de supresión; RDL v2 añade servicios semánticos tipados y evidencia acotada entre archivos. |
| Análisis semántico avanzado y entre archivos | Construido desde cero | Rastrea datos controlados por el usuario desde el origen hasta el sumidero a través de los límites de archivos compatibles utilizando análisis diseñado específicamente. El Análisis Avanzado se lanzó junto con el RDL original en marzo de 2026; RDL v2 extiende la evaluación de reglas semánticas entre archivos. |
| Escaneo automático agnóstico de plataforma | Multiplataforma automático | Use -r auto para escanear proyectos de tecnología mixta sin elegir un solo lenguaje de antemano. El reconocimiento selecciona automáticamente las reglas de plataforma y framework compatibles. Introducido en v0.23-beta, noviembre de 2024. |
| Lógica de seguridad específica de la aplicación | Paquetes RDL personalizados | Codifique los límites de confianza de la aplicación, las decisiones de autorización y las invariantes de negocio en paquetes RDL personalizados opcionales. La lógica específica del proyecto se ejecuta junto con las reglas de escaneo genéricas. |
| Evidencia interactiva de texto y gráficos | Siga la evidencia | Siga las rutas registradas de origen a sumidero en vistas vinculadas de Texto y Gráficos. Los extractos de código fuente, los carriles de archivos y los detalles de transferencia facilitan la inspección de la evidencia entre archivos. |
| Ciclo de vida de la revisión e informes portátiles | Revisar, reanudar y exportar | Mantenga el historial de escaneos, las supresiones de revisión y reanude escaneos interrumpidos. Exporte HTML, PDF, Word editable y JSON a través de informes compartidos de CLI y Web UI, con navegación de evidencia sin conexión cuando esté disponible. |