## Daksh SCRAについて

Daksh SCRA（ソースコードレビュー支援）は、ソースコードレビュープロセスの効率を高めるために構築されており、コードレビュアーに構造化され整理されたアプローチを提供します。

潜在的な問題として無差別にすべてをフラグ付けするのではなく、Daksh SCRAは思慮深い分析を促進し、潜在的な問題の調査と確認を促します。このアプローチにより、潜在的な懸念事項をすべてバグとしてタグ付けしようとする混乱を軽減し、誤検知に費やされる混乱と無駄な時間を削減します。

### デビュー

Daksh SCRAは当初、Black Hat USA 2022（8月6日〜9日）のソースコードレビュー研修セッションで紹介され、特定の聴衆に控えめに提示されました。公式の一般公開は、ラスベガスで開催されたBlack Hat USA 2023で行われました。

## 機能と特徴

- **ソースコード内の注目領域を特定:** 無差別にすべてをバグとしてラベル付けするのではなく、焦点を絞った調査と確認を促進します。
- **ファイルパス内の注目領域を特定（世界初）:** ファイルパスのパターンを認識して、レビュー対象の関連セクションを特定します。
- **使用技術を特定するソフトウェアレベルの偵察:** プロジェクトの技術を特定し、コードレビュアーが適切なルールで正確なスキャンを実行できるようにします。
- **コードレビューの自動化された科学的労力見積もり（世界初）:** コードレビューに必要な労力を見積もるための測定可能なアプローチを提供します。
- **フレームワーク対応スキャン:** プロジェクトのフレームワークが検出された場合、フレームワーク固有のルールを自動的に適用します。
- **汚染分析レポート:** ハッカーモードとプロフェッショナルモードのテーマを備えた、プラットフォーム別のHTML汚染フローレポート。
- **RDL（ルール記述言語）:** `rdl_ref`で参照され、`core/rdl_engine.py`パイプラインによって実行される外部ルールロジック - ファイル対応ゲート、ブール式、プロジェクト観察、レポート内のエクスポートされたロジックメタデータをサポートします。
- **スキャン状態/再開:** 長時間のスキャンをチェックポイントし、中断後に再開します。
- **抑制ベースライン:** 既知の誤検知のベースラインを生成して適用し、将来のレポートから抑制します。
- **Web UI:** リアルタイムコンソールフィードとジョブ成果物ブラウザを備えたブラウザベースのスキャンランチャー。

> 現在も積極的な拡張が進行中です。今後のリリースでは、複数の新機能と改善が計画されています。

既存のルールの更新や新規追加、今後の開発への貢献は自由に行ってください。

バグを見つけた場合は、[[email protected]](mailto:[email protected]) まで報告してください。

詳細なドキュメント: [https://dakshlabs.com/#docs](https://dakshlabs.com/#docs)

---

## はじめに

Daksh SCRAを実行する方法は2つあります。ワークフローに合った方を選択してください:

| | 最適な用途 | ジャンプ先 |
|---|---|---|
| 🌐 **Web UI（Docker）** | 最も簡単な開始方法 - 1つのコマンド、ブラウザダッシュボード、ライブスキャン進行状況、レポート/成果物ブラウザ。ほとんどのユーザーに推奨。 | [Web UI（Docker）](#web-ui-docker) |
| 💻 **CLI（Python）** | スクリプト、CIパイプライン、またはDockerなしでのスキャン実行。 | [CLIセットアップ](#cli-setup) |

どちらのパスもまったく同じスキャンエンジンを実行します - Web UIは同じCLIのブラウザフロントエンドであるため、結果はどちらの方法でも同一です。

---

## Web UI（Docker）

Daksh SCRAを実行する最速の方法は、単一のDocker Composeコマンドで起動するブラウザベースのWeb UIです。ローカルのPython環境を必要とせずに、スキャンランチャー、ライブコンソールフィード、過去のレポートの閲覧可能な履歴を提供します。

Dockerセットアップでは、Web UIとCLIが同じイメージから構築された独立したサービスとして実行されるため、同じコンテナからどちらか（または両方）を使用できます。

### Web UIの起動

フォアグラウンドモード（ログがターミナルにストリーミングされます）:```bash
docker compose up --build

次に [http://localhost:8080](http://localhost:8080) を開きます。

別のポートを使用する場合:```bash
DAKSH_PORT=9090 docker compose up

### ログイン

Web UI を使用するにはアカウントが必要です。初回起動時に、`DAKSH_ADMIN_USERNAME` / `DAKSH_ADMIN_PASSWORD`（`.env` で設定）から初期管理者アカウントが作成されます。`DAKSH_ADMIN_PASSWORD` が未設定の場合は、ランダムなパスワードが生成され、API の起動ログに一度だけ出力されます。後から復元できないため、必ず保存してください。

初回ログイン時には、自分のパスワード（および任意でユーザー名）の設定が求められます。管理者アカウントは、`POST /api/v1/auth/users` API エンドポイントを介して追加のアカウントを作成できます（専用の UI はまだありません）。認証関連の設定（セッション有効期間、Cookie セキュリティ、CORS）の完全な一覧は `.env.example` を参照してください。

### 提供される機能

- scan、recon、estimate、recon+estimate、list、PDF-from-JSON モードに対応したレスポンシブなコマンドビルダー
- 実行中のリアルタイムコンソールフィードと、ステージごとのライブ進捗表示
- HTML / PDF / JSON 出力のジョブごとのアーティファクトスナップショット
- 実行フォーム、ライブフィード、アーティファクト、最近のジョブ間を高速に移動できるブラウザ内ナビゲーション
- ターゲットパス選択用の組み込みディレクトリブラウザ（OS 対応: Windows、macOS、Linux / Docker）

内部では、CLI が引き続き信頼できる情報源です。CLI がすべてのスキャンを実行し、すべての HTML / PDF / JSON 出力を生成します。Web UI は一度に 1 つのアクティブなジョブを実行し、完了した各ジョブの出力を `runtime/webui/jobs/<job-id>/artifacts/` にスナップショットとして保存するため、過去のレポートにもアクセスできます。

### Docker での CLI の実行

CLI を使用するためにローカルの Python 環境は必要ありません。CLI は独自の Compose サービスとして利用でき、同じイメージからビルドされます。```bash
docker compose run --rm cli -h
docker compose run --rm cli -r auto -t /scan-targets/path/to/source

Or download the latest zip from [https://github.com/coffeeandsecurity/DakshSCRA](https://github.com/coffeeandsecurity/DakshSCRA) and unzip it.

### 2. Set Up a Virtual Environment

> 💡 The virtual environment can be created in any directory - it does not need to be inside the DakshSCRA folder.

**Option A: One-step setup (recommended)**```bash
python setup_env.py

macOS / Linux:```bash
python3 -m venv daksh-env
source daksh-env/bin/activate

---

## CLI の使い方

仮想環境内では `python` を、仮想環境外では `python3` を使用します。

### コマンドラインオプション```
usage: dakshscra.py [-h] [-r RULES] [-f FILE_TYPES] [-v] [-t TARGET_DIR]
                    [-l {R,RF}] [--recon] [--rs] [--estimate]
                    [-rpt FORMATS] [--pdf-from-json]
                    [--json-input-dir PATH] [--pdf-output PATH]
                    [--pdf-multi-dir PATH] [--pdf-single-only]
                    [--skip-analysis] [--loc]
                    [--baseline-file PATH] [--baseline-generate] [--no-baseline]
                    [--review-config PATH]
                    [--resume-scan] [--state-file PATH] [--no-state] [--state]

### 対応プラットフォームのルールとフレームワーク```bash
python dakshscra.py -l R    # List platform rules and framework mappings
python dakshscra.py -l RF   # List platform rules, framework mappings, and filetypes

---

## 設定リファレンス

### `config/tool.yaml`

Daksh SCRA のランタイムデフォルトは `config/tool.yaml` を通じて制御されます。```yaml
state_management:
  enabled: false
  resume_mode: manual
  persist_after_seconds: 300
  persist_interval_seconds: 30
  default_state_file: runtime/scan_state.json
  cleanup_on_success: false

analysis:
  run_by_default: true
  include_frameworks: true
  report_theme: hacker_mode

#### スキャン順序

ソースルールの場合、DakshSCRAは次の順序でロジックを評価します：

1. Reconが一致するプラットフォームとフレームワークを選択します。
2. XMLルールが `rules/scanning/platform/...` から読み込まれます。
3. `regex` が存在する場合、候補行またはファイル全体の一致を検出します。
4. `exclude` が存在する場合、そのルールの明らかなノイズを除去します。
5. `rdl_ref` の外部 `.rdl` ファイルが、現在のファイルテキスト、現在のファイルパス、およびプロジェクトルートに対して評価されます。
6. RDLスクリプトが合格した場合、DakshSCRAは検出結果を保持し、エクスポートされたロジックメタデータをレポート出力に統合します。
7. RDLスクリプトが失敗した場合、一致はRDL失敗理由と決定トレースメタデータとともに抑制されます。

`filepaths.xml` のファイルパスルールでは、同じ `rdl_ref` モデルが適用されますが、一致対象は
ソースコードテキストではなく正規化された相対パスです。このモードでは、RDLは相対パス
文字列を現在のファイルテキストおよびパスコンテキストとして受け取ります。

#### 現在のルール構造```xml
<rule>
  <name>Rule Name</name>
  <regex><![CDATA[regex_to_match]]></regex>
  <rdl_ref>logic/common/core/insecure_sql_query_unsafe_string_concatenation.rdl</rdl_ref>
  <exclude><![CDATA[pattern_to_exclude_lines]]></exclude>  <!-- optional -->
  <scan_config>...</scan_config>                           <!-- optional -->
  <rule_desc>Short description of what the rule detects.</rule_desc>
  <vuln_desc>Why the pattern matters.</vuln_desc>
  <developer>Fix guidance for developers.</developer>
  <reviewer>Manual confirmation guidance for reviewers.</reviewer>
</rule>

#### 現在のレイアウト```text
rules/
└── scanning/
    ├── platform/
    │   ├── php/php.xml
    │   ├── java/java.xml
    │   └── ...
    └── logic/
        ├── common/core/
        ├── php/core/
        ├── php/framework/laravel/
        ├── mobile/android/core/
        ├── filepaths/core/
        └── ...

外部RDL:```text
VERSION 1
WHEN PRESENT /\b(?:mysql_query|mysqli_query|->query)\s*\(/i
WHEN EXPR PRESENT:\$_(GET|POST|REQUEST|COOKIE) && MISSING:\b(?:prepare|bindParam|bindValue|PDO::prepare)\b
REPORT AS area_of_interest
REASON Query execution appears to rely on direct input without parameterisation.
FAIL_REASON Query API matched, but parameterised query indicators were also found in the file.

外部RDL:```text
VERSION 1
WHEN FILE_NAME_IS AndroidManifest.xml
WHEN CURRENT_FILE_MATCHES /android:exported\s*=\s*"true"/i
WHEN MISSING /android:permission\s*=\s*"/i
REPORT AS area_of_interest
REASON Exported component appears reachable without a permission guard.

外部RDL:```text
VERSION 1
WHEN CURRENT_FILE_MATCHES /(^|\/)(admin|administrator|root)(\/|$)/i
UNLESS CURRENT_FILE_MATCHES /(^|\/)(tests?|docs?|samples?|examples?)(\/|$)/i
REPORT AS area_of_interest
REASON File path suggests privileged application functionality.
FAIL_REASON Path matched an excluded documentation or sample location.

ランタイムファイル（スキャン状態、ログ、インベントリ）は `runtime/` 配下に書き込まれます。

Web UI 経由で実行する場合、各ジョブの出力は追加で `runtime/webui/jobs/<job-id>/artifacts/` 配下にスナップショットされます（[Web UI（Docker）](#web-ui-docker) を参照）。

---

## 著者

| | |
|---|---|
| ウェブサイト | [coffeeandsecurity.com](https://www.coffeeandsecurity.com) |
| メール | [email protected] |
| Twitter / X | [@coffeensecurity](https://x.com/coffeensecurity) |
| ソース | [github.com/coffeeandsecurity/DakshSCRA](https://github.com/coffeeandsecurity/DakshSCRA) |
| ライセンス | GNU General Public License v3.0（GPL-3.0） |

DakshSCRA がチームの時間、労力、コストを大幅に節約し、高価な商用ツールへの依存を減らし、レビュー範囲を改善し、コードレビューをより構造化され効果的なものにしたなら、ぜひご連絡いただき、あなたの経験を共有してください。私は常に思慮深いフィードバックや興味深い会話を受け付けています。

バグを見つけた場合や貢献したい場合は、GitHub で issue または pull request を開いてください。