coffeeandsecurity/dakshscraFerramenta de análise estática de código consciente de frameworks para revisão automatizada de código-fonte com regras específicas de plataforma, análise de fluxo de dados, estimativa de esforço e linhas de base de supressão.
Author:
- Debasis Mohanty ([email protected])
- Twitter / X: @coffeensecurity
- www.coffeeandsecurity.com
O Daksh SCRA (Source Code Review Assist) foi criado para aumentar a eficiência do processo de revisão de código-fonte, proporcionando uma abordagem bem estruturada e organizada para revisores de código.
Em vez de sinalizar indiscriminadamente tudo como um possível problema, o Daksh SCRA promove uma análise criteriosa, incentivando a investigação e a confirmação de potenciais problemas. Essa abordagem reduz a correria para marcar cada possível preocupação como um bug, diminuindo a confusão e o tempo desperdiçado com falsos positivos.
O Daksh SCRA foi apresentado inicialmente durante uma sessão de treinamento de revisão de código-fonte na Black Hat USA 2022 (6 a 9 de agosto), onde foi discretamente apresentado a um público específico. Sua estreia pública oficial ocorreu na Black Hat USA 2023, em Las Vegas.
O DakshSCRA reúne capacidades distintas para revisão manual de código-fonte, desde áreas de interesse em caminhos de arquivos e estimativa de esforço até reconhecimento de software, regras contextuais e análise entre arquivos.
| Recurso | Tag | Por que é importante |
|---|---|---|
| Áreas de Interesse em Caminhos de Arquivos | World's First* | Examina os próprios nomes de arquivos e diretórios, além do código, para sinalizar caminhos suspeitos, como arquivos de backup, endpoints de depuração, dumps de configuração e arquivos de credenciais que os revisores frequentemente deixam passar. |
| Estimativa Científica de Esforço | World's First* | Produz uma estimativa quantificada do esforço de revisão manual com base no tamanho da base de código e nos sinais do projeto. Premissas configuráveis tornam o planejamento do engajamento explícito e repetível. |
| Áreas de Interesse, Não Sinalizações de Bugs | Reviewer in Control | Revela padrões que merecem investigação em vez de marcar cada correspondência como uma vulnerabilidade. Regras contextuais e evidências de supressão reduzem o ruído da triagem e mantêm o revisor no controle. |
| Reconhecimento de Software | Integrated Software Recon | Detecta linguagens, frameworks e infraestrutura a partir do conteúdo dos arquivos e da estrutura do projeto antes da varredura. Conecta o inventário de tecnologias à seleção automática de regras, à análise semântica e ao planejamento da revisão. |
| Regras Condicionais RDL | Advanced Conditional Rules | Vai além de simples regex com PRESENT, MISSING, expressões booleanas e condições de arquivo/caminho. O RDL v1 registra decisões e motivos de supressão; o RDL v2 adiciona serviços semânticos tipados e evidências limitadas entre arquivos. |
| Análise Semântica Avançada e Entre Arquivos | Built from the Ground Up | Rastreia dados controlados pelo usuário da origem ao destino através de limites de arquivos suportados usando análise especialmente desenvolvida. A Análise Avançada foi lançada junto com o RDL original em março de 2026; o RDL v2 estende a avaliação de regras semânticas entre arquivos. |
| Varredura Automática Independente de Plataforma | Automatic Multi-Platform | Use -r auto para escanear projetos de tecnologias mistas sem escolher uma única linguagem antecipadamente. O reconhecimento seleciona automaticamente regras de plataformas e frameworks suportados. Introduzido na v0.23-beta, novembro de 2024. |
| Lógica de Segurança Específica da Aplicação | Custom RDL Packs | Codifique limites de confiança da aplicação, decisões de autorização e invariantes de negócio em pacotes RDL personalizados opcionais. A lógica específica do projeto é executada junto com as regras genéricas de varredura. |
| Evidências Interativas em Texto e Grafo | Follow the Evidence | Acompanhe caminhos registrados de origem a destino em visualizações vinculadas de Texto e Grafo. Trechos de código-fonte, faixas de arquivos e detalhes de transferência facilitam a inspeção de evidências entre arquivos. |
| Ciclo de Vida da Revisão e Relatórios Portáteis | Review, Resume and Export | Mantenha o histórico de varreduras, supressões de revisão e retome varreduras interrompidas. Exporte HTML, PDF, Word editável e JSON por meio de relatórios compartilhados da CLI e da Web UI, com navegação offline de evidências quando disponível. |