फ्रेमवर्क-जागरूक स्थैतिक कोड विश्लेषण उपकरण जो प्लेटफ़ॉर्म-विशिष्ट नियमों, टेंट विश्लेषण, प्रयास अनुमान और दमन आधार रेखाओं के साथ स्वचालित स्रोत कोड समीक्षा के लिए है।
Author:
- Debasis Mohanty ([email protected])
- Twitter / X: @coffeensecurity
- www.coffeeandsecurity.com
Daksh SCRA (Source Code Review Assist) को सोर्स कोड समीक्षा प्रक्रिया की दक्षता बढ़ाने के लिए बनाया गया है, जो कोड समीक्षकों के लिए एक सुव्यवस्थित और संगठित दृष्टिकोण प्रदान करता है।
हर चीज़ को संभावित समस्या के रूप में अंधाधुंध चिह्नित करने के बजाय, Daksh SCRA विचारपूर्ण विश्लेषण को प्रोत्साहित करता है, संभावित समस्याओं की जाँच और पुष्टि करने का आग्रह करता है। यह दृष्टिकोण हर संभावित चिंता को बग के रूप में टैग करने की होड़ को कम करता है, जिससे भ्रम और गलत सकारात्मक परिणामों पर बर्बाद होने वाले समय में कमी आती है।
Daksh SCRA को शुरू में Black Hat USA 2022 (6-9 अगस्त) में एक सोर्स कोड समीक्षा प्रशिक्षण सत्र के दौरान पेश किया गया था, जहाँ इसे एक विशिष्ट दर्शक वर्ग के सामने सूक्ष्म रूप से प्रस्तुत किया गया। इसका आधिकारिक सार्वजनिक डेब्यू लास वेगास में Black Hat USA 2023 में हुआ।
DakshSCRA मैनुअल सोर्स कोड समीक्षा के लिए विशिष्ट क्षमताओं को एक साथ लाता है, जो फ़ाइल-पथ रुचि क्षेत्रों और प्रयास अनुमान से लेकर सॉफ़्टवेयर टोही, प्रासंगिक नियमों और क्रॉस-फ़ाइल विश्लेषण तक फैली हुई हैं।
| विशेषता | टैग | यह क्यों मायने रखती है |
|---|---|---|
| फ़ाइल पथ रुचि क्षेत्र | विश्व का पहला* | कोड के साथ-साथ फ़ाइल और निर्देशिका नामों को भी स्कैन करता है, ताकि बैकअप फ़ाइलों, डीबग एंडपॉइंट, कॉन्फ़िगरेशन डंप और क्रेडेंशियल फ़ाइलों जैसे संदिग्ध पथों को चिह्नित किया जा सके, जिन्हें समीक्षक अक्सर अनदेखा कर देते हैं। |
| वैज्ञानिक प्रयास अनुमान | विश्व का पहला* | कोडबेस आकार और प्रोजेक्ट संकेतों के आधार पर मैनुअल-समीक्षा प्रयास का मात्रात्मक अनुमान प्रदान करता है। कॉन्फ़िगर करने योग्य धारणाएँ एंगेजमेंट योजना को स्पष्ट और दोहराने योग्य बनाती हैं। |
| रुचि क्षेत्र, बग फ़्लैग नहीं | समीक्षक नियंत्रण में | हर मिलान को भेद्यता के रूप में टैग करने के बजाय जाँच के योग्य पैटर्न सामने लाता है। प्रासंगिक नियम और दमन साक्ष्य ट्राइएज शोर को कम करते हैं और समीक्षक को नियंत्रण में रखते हैं। |
| सॉफ़्टवेयर टोही | एकीकृत सॉफ़्टवेयर टोही | स्कैनिंग से पहले फ़ाइल सामग्री और प्रोजेक्ट संरचना से भाषाओं, फ़्रेमवर्क और अवसंरचना का पता लगाता है। तकनीकी इन्वेंट्री को स्वचालित नियम चयन, सिमेंटिक विश्लेषण और समीक्षा योजना से जोड़ता है। |
| RDL सशर्त नियम | उन्नत सशर्त नियम | PRESENT, MISSING, बूलियन अभिव्यक्तियों और फ़ाइल/पथ शर्तों के साथ सरल regex से आगे जाता है। RDL v1 निर्णयों और दमन कारणों को रिकॉर्ड करता है; RDL v2 टाइप्ड सिमेंटिक सेवाएँ और सीमित क्रॉस-फ़ाइल साक्ष्य जोड़ता है। |
| उन्नत सिमेंटिक और क्रॉस-फ़ाइल विश्लेषण | शुरू से निर्मित | समर्थित फ़ाइल सीमाओं के आर-पार उपयोगकर्ता-नियंत्रित डेटा को स्रोत से सिंक तक ट्रेस करता है, विशेष-निर्मित विश्लेषण का उपयोग करते हुए। उन्नत विश्लेषण मार्च 2026 में मूल RDL के साथ जारी किया गया; RDL v2 फ़ाइलों के आर-पार सिमेंटिक नियम मूल्यांकन का विस्तार करता है। |
| प्लेटफ़ॉर्म-अज्ञेय स्वचालित स्कैनिंग | स्वचालित बहु-प्लेटफ़ॉर्म | मिश्रित-तकनीक परियोजनाओं को स्कैन करने के लिए -r auto का उपयोग करें, बिना पहले से एक भाषा चुनने की आवश्यकता के। टोही स्वचालित रूप से समर्थित प्लेटफ़ॉर्म और फ़्रेमवर्क नियमों का चयन करती है। v0.23-beta, नवंबर 2024 में पेश किया गया। |
| एप्लिकेशन-विशिष्ट सुरक्षा तर्क | कस्टम RDL पैक | वैकल्पिक कस्टम RDL पैक में एप्लिकेशन ट्रस्ट सीमाओं, प्राधिकरण निर्णयों और व्यावसायिक अपरिवर्तनीयताओं को एन्कोड करें। प्रोजेक्ट-विशिष्ट तर्क सामान्य स्कैनिंग नियमों के साथ चलता है। |
| इंटरैक्टिव टेक्स्ट और ग्राफ़ साक्ष्य | साक्ष्य का अनुसरण करें | लिंक्ड टेक्स्ट और ग्राफ़ दृश्यों में रिकॉर्ड किए गए स्रोत-से-सिंक पथों का अनुसरण करें। स्रोत अंश, फ़ाइल लेन और हैंडऑफ़ विवरण क्रॉस-फ़ाइल साक्ष्य की जाँच को आसान बनाते हैं। |
| समीक्षा जीवनचक्र और पोर्टेबल रिपोर्ट | समीक्षा, पुनः आरंभ और निर्यात | स्कैन इतिहास रखें, समीक्षा दमन करें और बाधित स्कैन फिर से शुरू करें। साझा CLI और Web UI रिपोर्ट के माध्यम से HTML, PDF, संपादन योग्य Word और JSON निर्यात करें, जहाँ उपलब्ध हो वहाँ ऑफ़लाइन साक्ष्य नेविगेशन के साथ। |