nccgroup/cqEscáner de seguridad de código rápido diseñado para la revisión manual de seguridad del código por parte de expertos. Genera hallazgos con referencias de línea en archivos de texto para facilitar su filtrado y clasificación.
Code Query, una herramienta universal de escaneo de seguridad de código.
CQ escanea código en busca de vulnerabilidades de seguridad y otros elementos de interés para revisores de código centrados en la seguridad. Genera archivos de texto con referencias a los problemas encontrados, en un directorio de salida. Estos archivos de salida pueden revisarse, filtrarse con herramientas de línea de comandos de unix como grep, o utilizarse como medio para 'saltar' al código fuente en la referencia file:line especificada.
Un modo de uso habitual es considerar los archivos de salida como una lista de 'tareas pendientes', eliminando referencias a medida que se revisan y se consideran falsos positivos, o copiando las referencias en algún archivo de informe para revisarlas en detalle o para servir de base para un informe de error.
La herramienta es extremadamente básica, en gran medida manual, y asume un profundo conocimiento de las vulnerabilidades de seguridad de aplicaciones y de la revisión de código. Sin embargo, tiene las ventajas de ser relativamente rápida y fiable, y de funcionar incluso cuando solo se dispone de código parcial.
CQ es Code Query, o Sécurité, o CQD, o "Seek You".
CQ está pensada para ser utilizada en un contexto de revisión de código de seguridad por expertos humanos. No está pensada para escenarios automatizados, aunque podría aplicarse en ese contexto.
CQ genera archivos de texto plano, normalmente con un hallazgo por línea, usando la convención ruta completa:número de línea para representar ubicaciones en el código fuente. Este formato se utiliza para facilitar la manipulación con las utilidades estándar de unix de línea de comandos, como grep, wc, sed y similares, y las funcionalidades basadas en líneas de muchos editores como vi, Sublime Text, Atom y Visual Studio Code.
El enfoque en informar de todos los elementos de interés da como resultado una herramienta que encontrará muchos puntos de interés en casi cualquier base de código, pero que también informará de un gran número de 'falsos positivos'. Estos falsos positivos pueden eliminarse de los resultados, ya sea mediante inspección o de forma automatizada, gracias al método de notificación basado en líneas.
Se proporciona poca o ninguna explicación de los problemas; se asume que eres consciente del contexto, impacto y características de los problemas notificados.
