oversight

Un auditeur de sécurité léger et un bac à sable pour scripts shell. Oversight combine un moteur d'analyse statique (Rust) avec une application dynamique (Linux Landlock) pour protéger votre système des scripts malveillants.

Capture d'écran 2

La Mission

La plupart des compromissions de systèmes surviennent à cause d'un acte de foi, comme l'exécution d'une mise à niveau de paquet non vérifiée ou l'exécution de scripts d'installation bruts. Oversight vous offre une vision claire de ces tampons, en signalant les schémas malveillants et en expliquant les risques de sécurité en langage clair afin que vous puissiez prendre une décision éclairée avant de confirmer les installations.

Fonctionnalités

• Disposition d'onglets multi-flux dynamique : Analyse automatiquement les en-têtes de flux git unifiés à la volée. Lorsqu'une mise à jour groupée arrive, il isole le flux de correctifs combiné et génère des onglets dédiés et lisibles pour chaque paquet, en extrayant et en auditant les scripts .install et les fichiers .patch associés depuis le répertoire de construction local.
• Moteur d'entropie heuristique : Implémentation de calculs d'entropie de Shannon pour identifier les charges utiles obfusquées, les données compressées et les chaînes cachées que les scanners regex traditionnels manquent.
• Suivi du cycle de vie malveillant : Analyse comportementale avancée qui relie les événements associés au sein d'un script, comme la chaîne Récupération -> Changement de permissions -> Exécution typique des installateurs de chevaux de Troie.
• Barre latérale de carte thermique de sécurité : Piste verticale fournissant un aperçu visuel en temps réel de la distribution des menaces dans le fichier actif, garantissant que les indicateurs de coordonnées exacts s'adaptent avec précision à chaque tampon d'onglet distinct.
• Détection anti-forensique et de persistance : Surveillance des comportements furtifs, notamment l'auto-suppression (rm $0), les pipelines silencieux (> /dev/null), les chemins d'exécution en mémoire uniquement (/dev/shm) et les hooks de rechargement (crontab, systemctl).
• Score de risque pondéré : Implémente un indice de sécurité de 0 à 100 qui catégorise les flux comme Propres, Prudents ou Dangereux sur la base de métriques macro plates qui évitent le gonflement des scores de risque.
• Bascule d'atténuation globale : Permet aux utilisateurs de supprimer instantanément les résultats actifs via la TUI à l'aide d'un simple interrupteur. Cela assainit visuellement la vue en commentant les blocs signalés et recalcule l'indice de score de risque global en temps réel.
• Mode pagineur de flux propre : Supprime les blocs de fenêtre d'affichage vides. Lorsqu'un flux réussit l'analyse sans aucun drapeau, la disposition complète du terminal reste ouverte comme un pagineur fonctionnel, permettant une revue de code manuelle standard ligne par ligne.
• Moteur de règles dynamique : Les schémas sont externalisés dans un module de règles indépendant, permettant des mises à jour modulaires de différentes signatures de schémas sans casser la boucle d'analyse de la TUI.
• Moteur de récupération à distance : Auditez les scripts directement depuis GitHub, Gist ou des URL brutes en toute sécurité via une analyse en mémoire uniquement.
• Audit pédagogique : Chaque drapeau de sécurité inclut une explication détaillée et des références externes pour aider les utilisateurs à apprendre à identifier les schémas de script malveillants.
• Renseignement sur les vulnérabilités : Analyse en temps réel intégrée des CVE connues à l'aide de l'API OSV.dev, déclenchée automatiquement lorsque des commandes d'installation de paquets pris en charge sont détectées.

Dépendances

Oversight est construit en Rust pour des performances et une isolation binaire optimales. Les composants natifs suivants sont requis pour la compilation :

• Chaîne d'outils Rust : cargo et rustc (édition 2021) pour compiler le moteur natif.
• OpenSSL : Bibliothèque système requise par reqwest pour établir des opérations de récupération TLS/SSL distantes sécurisées.
• Crates de base : ratatui, crossterm, tokio, reqwest, clap et regex.

Installation et configuration

1. Via AUR (recommandé pour Arch Linux) La version stable est maintenue sur l'AUR. Installez-la à l'aide de votre assistant préféré :

yay -S oversight-git

2. Ou compilez manuellement :

3. Depuis les sources :

git clone https://github.com/Rakosn1cek/oversight.git cd oversight

4. Exécutez l'installateur automatisé : L'installateur gère la compilation, déplace le binaire vers ~/.local/bin et injecte les hooks nécessaires dans votre configuration shell (.zshrc, .bashrc ou config.fish).

4. Rechargez votre shell :

source ~/.zshrc ou votre fichier de configuration shell respectif

Fichiers et emplacements

• Binaire : ~/.local/bin/oversight
• Base de données de règles : ~/.local/share/oversight/rules.json (respecte $XDG_DATA_HOME)
• Hooks shell : ~/.local/share/oversight/oversight.[zsh|bash|fish]

Utilisation

• Auditer un script local : oversight ./install.sh
• Auditer une URL distante : oversight https://raw.githubusercontent.com/...
• Auditer un fichier de configuration local : oversight ~/.local/share/oversight/rules.json
• Protection en direct : Intercepte automatiquement les commandes autonomes comme curl https://... ou les schémas risqués comme rm -rf / pour proposer un menu de triage à options multiples, et inspecte en profondeur les profils de cache AUR en aval avant l'exécution.

Intégration de la configuration shell

Pour déployer définitivement Oversight comme votre pagineur de texte et de mise à niveau principal, ajoutez l'une ou l'autre règle de configuration à votre fichier de profil shell (par exemple, ~/.zshrc, ~/.bashrc ou ~/.config/fish/config.fish) :

Option A : Intégration dédiée à l'assistant AUR (ciblée)

Force votre assistant à utiliser Oversight spécifiquement pour les mises à niveau de paquets sans affecter les autres commandes système :

Pour yay (~/.zshrc ou ~/.bashrc) : alias yay="yay --diffpager oversight"

Pour paru (~/.config/paru/paru.conf) : Ajoutez ces lignes à votre ~/.config/paru/paru.conf. Vous devez inclure l'option CombinedUpgrade, sinon paru supprimera les codes de couleur ANSI avant de transmettre le texte à Oversight, vous laissant avec un texte en noir et blanc :

Pour d'autres assistants comme Shelly Si vous utilisez un assistant différent, vous devez indiquer à Oversight où trouver les fichiers de cache en utilisant la variable AUDIT_HELPER. Par exemple, vous pouvez l'exécuter comme ceci :

AUDIT_HELPER=shelly shelly -Sua | oversight

Vous pouvez également exporter la variable de l'assistant globalement dans votre profil shell afin qu'Oversight sache toujours quel chemin de cache vérifier :

export AUDIT_HELPER="shelly"

Option B : Environnement de pagineur système global (universel)

Cette configuration enregistre Oversight comme votre pagineur de texte système par défaut. Cela signifie que les paquets, les pages de manuel et les flux git s'ouvriront automatiquement dans l'interface.

Ajoutez ces lignes à votre ~/.zshrc ou ~/.bashrc :

La deuxième ligne est nécessaire si votre configuration système définit déjà MANPAGER sur less ou un autre outil.

Référence des effets secondaires du pagineur global

• Lors du déploiement global d'Oversight en l'exportant comme visionneuse de texte système principale, le moteur intercepte tous les flux de données qui passent par les mécanismes de pagination du terminal.
• Bien que le système gère ces entrées en toute sécurité, vous remarquerez des comportements spécifiques dans vos opérations terminales quotidiennes.
• L'exécution d'une mise à niveau complète du système traite les miroirs du dépôt officiel avant d'atteindre la file d'attente AUR. Comme les binaires officiels manquent de chemins structurels Git ou de scripts de cache, Oversight revient automatiquement à un tampon de texte plat. L'interface affiche une seule ligne de résultat Analyse statique réussie et mappe vos touches fléchées pour faire défiler verticalement la liste des transactions texte ligne par ligne comme un pagineur de texte standard.
• La consultation de références de commandes comme man pacman redirige les manuels d'instructions directement via le moteur. Le texte est analysé comme un flux propre, vous permettant d'utiliser les raccourcis clavier standard de la fenêtre d'affichage pour consulter la documentation dans le cadre TUI unifié.
• Les commandes de base telles que git log ou git diff dans vos dépôts locaux passent par la base de données de règles statiques. Si un commit contient un schéma de signature correspondant, il déclenche les alertes du moteur ; sinon, il présente des revues de code standard dans le panneau principal de manière propre.
• La logique d'analyse interne repose sur des hooks d'en-tête unifiés stricts pour allouer plusieurs onglets de paquets. Si un flux entrant ne contient pas ces jetons de cache spécifiques, comme les pages de manuel normales ou les miroirs de dépôt, la disposition multi-onglets est entièrement contournée pour éviter la fragmentation de l'espace de travail du terminal.

Raccourcis clavier :

• Touches fléchées Haut / Bas : Naviguez à tout moment dans les éléments de résultats du panneau gauche, garantissant que la sélection de liste n'est jamais piégée.
• Touches PageUp / PageDown : Faites défiler en douceur la fenêtre d'affichage centrale du code ligne par ligne, indépendamment de la sélection de liste.
• Touche Tab : Faites défiler la sélection vers l'avant à travers les segments de flux de code actifs, passant du flux de correctifs combiné directement aux onglets sources PKGBUILD individuels.
• Touches numériques (0-9) : Accédez instantanément à un index d'onglet spécifique.
• Touche fléchée Gauche : Réinitialisez instantanément les décalages de coordonnées de défilement vertical de la fenêtre d'affichage vers le haut.
• Touche [S] : Basculez la suppression globale pour commenter instantanément les blocs de code signalés dans le bloc de sélection actif et rééquilibrer les paramètres de risque en une seule passe.
• [Q] ou Échap : Fermez l'interface en toute sécurité et redonnez le contrôle d'exécution au pipeline de processus du terminal.

Remarque : Oversight est un outil consultatif. Bien qu'il utilise une correspondance de schémas regex robuste, aucun outil de sécurité n'est infaillible à 100 %. Utilisez toujours le « Verdict final » comme guide et examinez manuellement le code surligné si vous avez des doutes sur une source.

Remarque 2 : Oversight est encore en développement actif ; par conséquent, aucune garantie n'est fournie concernant sa fonctionnalité ou son impact sur le système à ce stade.

Soutien et contributions

Si vous souhaitez soutenir ou contribuer au projet, vous êtes plus que bienvenu.

Si vous souhaitez discuter ou poser des questions sur Oversight, rejoignez mon serveur Discord Rakosn1cek <- Ceci est facultatif, pas une exigence.

Vous pouvez également ouvrir un problème (Issue) ou laisser un message dans les Discussions.

Licence

MIT © 2026 Rakosn1cek. L'attribution est requise pour toute redistribution ou œuvre dérivée.