coffeeandsecurity/dakshscraFerramenta de análise estática de código consciente de frameworks para revisão automatizada de código-fonte com regras específicas de plataforma, análise de fluxo de dados, estimativa de esforço e linhas de base de supressão.
Author:
## Sobre o Daksh SCRA
O Daksh SCRA (Source Code Review Assist) foi criado para aumentar a eficiência do processo de revisão de código-fonte, proporcionando uma abordagem bem estruturada e organizada para revisores de código.
Em vez de sinalizar indiscriminadamente tudo como um possível problema, o Daksh SCRA promove uma análise criteriosa, incentivando a investigação e a confirmação de potenciais problemas. Essa abordagem reduz a correria para marcar cada possível preocupação como um bug, diminuindo a confusão e o tempo desperdiçado com falsos positivos.
### Estreia
O Daksh SCRA foi apresentado inicialmente durante uma sessão de treinamento de revisão de código-fonte na Black Hat USA 2022 (6 a 9 de agosto), onde foi discretamente apresentado a um público específico. Sua estreia pública oficial ocorreu na Black Hat USA 2023, em Las Vegas.
## Recursos e Funcionalidades
- **Identifica Áreas de Interesse no Código-Fonte:** Incentiva a investigação e a confirmação focadas, em vez de rotular indiscriminadamente tudo como um bug.
- **Identifica Áreas de Interesse em Caminhos de Arquivo (Primeiro do Mundo):** Reconhece padrões em caminhos de arquivo para identificar seções relevantes para revisão.
- **Reconhecimento em Nível de Software para Identificar Tecnologias Utilizadas:** Identifica as tecnologias do projeto, permitindo que revisores de código realizem varreduras precisas com as regras apropriadas.
- **Estimativa Automatizada de Esforço Científico para Revisão de Código (Primeiro do Mundo):** Fornece uma abordagem mensurável para estimar o esforço necessário para uma revisão de código.
- **Varredura Ciente de Frameworks:** Aplica automaticamente regras específicas de frameworks quando o framework do projeto é detectado.
- **Relatórios de Análise de Taint:** Relatórios HTML de fluxo de taint por plataforma, com temas em modo hacker e modo profissional.
- **RDL (Rule Description Language):** Lógica de regras externas referenciada com `rdl_ref` e executada pelo pipeline `core/rdl_engine.py` - suporta gates cientes de arquivos, expressões booleanas, observações de projeto e metadados de lógica exportados em relatórios.
- **Estado de Varredura / Retomada:** Salva pontos de verificação de varreduras longas e retoma após interrupção.
- **Baseline de Supressão:** Gera e aplica uma baseline de falsos positivos conhecidos para suprimi-los de relatórios futuros.
- **Interface Web:** Lançador de varredura baseado em navegador com feed de console em tempo real e navegador de artefatos de tarefas.
> Melhorias ativas estão em andamento. Vários novos recursos e melhorias estão planejados para versões futuras.
Sinta-se à vontade para contribuir com a atualização ou adição de novas regras e com o desenvolvimento futuro.
Se você encontrar algum bug, reporte-o para [[email protected]](mailto:[email protected]).
Documentação detalhada: [https://dakshlabs.com/#docs](https://dakshlabs.com/#docs)
---
## Primeiros Passos
Há duas maneiras de executar o Daksh SCRA - escolha a que melhor se adapta ao seu fluxo de trabalho:
| | Melhor para | Ir para |
|---|---|---|
| 🌐 **Interface Web (Docker)** | A maneira mais fácil de começar - um comando, um painel no navegador, progresso de varredura ao vivo e um navegador de relatórios/artefatos. Recomendado para a maioria dos usuários. | [Interface Web (Docker)](#web-ui-docker) |
| 💻 **CLI (Python)** | Scripts, pipelines de CI ou execução de varreduras sem Docker. | [Configuração da CLI](#cli-setup) |
Ambos os caminhos executam exatamente o mesmo mecanismo de varredura - a Interface Web é uma interface de navegador sobre a mesma CLI, portanto os resultados são idênticos em ambos os casos.
---
## Interface Web (Docker)
A maneira mais rápida de executar o Daksh SCRA é através de sua Interface Web baseada em navegador, iniciada com o auxiliar de inicialização Docker ciente do host. Ela oferece um lançador de varredura, um feed de console ao vivo e um histórico navegável de relatórios anteriores. O auxiliar de inicialização requer Python 3 (apenas biblioteca padrão); a aplicação e suas dependências são executadas no Docker.
A configuração do Docker executa a Interface Web e a CLI como serviços independentes construídos a partir da mesma imagem, para que você possa usar qualquer uma (ou ambas) a partir do mesmo contêiner.
### Iniciar a Interface Web
Após baixar o Daksh SCRA do GitHub, **extraia primeiro o arquivo ZIP**.
Abra um terminal (PowerShell ou Prompt de Comando no Windows) dentro da pasta
extraída do projeto que contém `docker-compose.yml` e `dakshscra.py`.
**Execute todos os comandos de inicialização e Docker Compose abaixo a partir dessa pasta.**
Se o seu terminal abrir em outro local, mude primeiro para a pasta extraída:```text
cd "path/to/extracted/DakshSCRA-folder"
Substitua o caminho de exemplo pelo local de download e nome de pasta reais.
Se você clonou o repositório, execute cd DakshSCRA a partir da pasta pai.
O auxiliar de inicialização reconhece Windows, WSL, Linux e macOS, então monta o root do host, as unidades Windows disponíveis e pastas comuns como somente leitura antes de iniciar os contêineres. Execute-o no computador que está executando o Docker.
Linux, macOS ou WSL (primeiro plano):```bash python3 tools/start_webui.py
Windows PowerShell ou Prompt de Comando (primeiro plano):```powershell
py tools/start_webui.py
Adicione --detach para o modo em segundo plano, ou --dry-run para inspecionar os caminhos detetados.
As substituições de caminho .env existentes são respeitadas. As contas, as análises e o volume
de runtime são preservados quando os contentores são recriados.
O Docker Desktop pode exigir permissão para partilhar os caminhos do host selecionados. Se rejeitar uma montagem, permita essa localização no Docker Desktop e execute novamente o helper. Um navegador remoto vê as pastas do host Docker, não as unidades do seu próprio computador. A deteção automática requer um motor Docker local; execute o helper no host do motor ao usar um contexto Docker remoto.
Para montagens configuradas manualmente, docker compose up --build -d api web continua
disponível. A sua configuração base monta o repositório em /scan-targets e
${DAKSH_HOST_MOUNT:-/} em /host/root. Use o helper para a descoberta de unidades do Windows
e atalhos de pastas comuns; o Compose simples não consegue detetar o SO do cliente.
Depois, abra http://localhost:8080.
Para usar uma porta diferente:```bash DAKSH_PORT=9090 python3 tools/start_webui.py
Pare a stack com:```bash
docker compose down
A interface Web requer uma conta. Na primeira inicialização, uma conta de administrador inicial é criada a partir de DAKSH_ADMIN_USERNAME / DAKSH_ADMIN_PASSWORD (defina estas em .env); se DAKSH_ADMIN_PASSWORD for deixada sem definir, uma palavra-passe aleatória é gerada e impressa uma vez no log de inicialização da API - guarde-a, pois não poderá ser recuperada posteriormente.
Será solicitado que defina a sua própria palavra-passe (e, opcionalmente, o nome de utilizador) na primeira vez que iniciar sessão. Uma conta de administrador pode criar mais contas através do endpoint da API POST /api/v1/auth/users (ainda sem interface dedicada para isto). Consulte .env.example para a lista completa de definições relacionadas com autenticação (duração da sessão, segurança de cookies, CORS).