Sighthound

O Que Faz

• Examina código fonte em busca de problemas de segurança usando regras que entendem AST.
• Suporta modo de padrão e modo de taint (rastreio de fonte para sumidouro).
• Lida com projetos multi-arquivo e execução paralela.
• Gera resultados como texto, JSON, CSV ou SARIF.
• Carrega pacotes de regras incorporados por extensão de arquivo, com regras personalizadas opcionais baseadas em arquivo.

Suporte a Linguagens

Atualmente não suportado: Razor (.cshtml), C/C++ (.c, .h).

Instalação

Pré-requisitos:

• Rust 1.85+
• Git

Compilar a partir do código fonte:

git clone https://github.com/Corgea/Sighthound.git
cd Sighthound
cargo build --release

Caminho do binário: target/release/sighthound

Exportação de versão compatível com contentor Linux:

DOCKER_BUILDKIT=1 docker build \
  --target export \
  --output type=local,dest=./sighthound_release \
  .

Ou execute ./build_all_platforms.sh.

Início Rápido

# Auto-detect languages and run embedded rules
cargo run --bin sighthound -- /path/to/project

# Explicit language + custom rules path
cargo run --bin sighthound -- /path/to/project python rules/python

# Taint-only scan and JSON output
cargo run --bin sighthound -- --taint-analysis --output-format json /path/to/project > findings.json

# SARIF output for GitHub Code Scanning
cargo run --bin sighthound -- --output-format sarif /path/to/project > results.sarif

Formato da CLI:

sighthound [OPTIONS] <ROOT_DIR> [LANGUAGE] [RULES_PATH]

Execute sighthound --help para a lista completa de opções.

Varredura de Código do GitHub

O formato de saída sarif escreve SARIF 2.1.0, que a Varredura de Código do GitHub ingere diretamente. Faça o upload a partir de um fluxo de trabalho para que os resultados apareçam em linha no pull request e na aba de Segurança do repositório:

Execute a varredura a partir da raiz do repositório e use . (ou o caminho absoluto da raiz do repositório) como <ROOT_DIR> para que os URIs dos artefatos SARIF permaneçam relativos ao repositório.

- name: Run Sighthound
  run: sighthound --output-format sarif . > results.sarif
- name: Upload SARIF
  uses: github/codeql-action/upload-sarif@v3
  with:
    sarif_file: results.sarif

Regras

As regras são escritas em RON e suportam ambos:

• mode: "search" para correspondência de padrões
• mode: "taint" para análise de fonte/sumidouro/sanitizador

Comece por aqui:

• Guia de Escrita de Regras
• Diretório de regras incluídas

Desenvolvimento

Comandos principais:

make check        # fix + format + lint + test + suppression report
make pre-commit   # staged Rust files (hook)
make pre-push     # push gate checks
make ci           # strict CI pipeline

Portões de qualidade adicionais:

make complexity
make audit
make acceptance
cargo harness coverage --min=0
cargo harness crap --max=30

Limitações

• Vulnerabilidades que ocorrem apenas em tempo de execução em caminhos de código dinâmicos podem não ser detetadas.
• Ficheiros muito grandes podem aumentar o tempo de varredura.
• O taint multi-arquivo é suportado, mas ainda é uma área a ser melhorada.

Contribuir

• Guia de Contribuição
• Código de Conduta
• Política de Segurança

Licença

• Licença MIT
• Avisos de Terceiros