🛡️ Sentinel — CLI Explicador de CVEs

"Essa CVE me afeta?" — respondido em segundos, não em horas.

O Sentinel recebe um ID de CVE, busca dados do NVD, OSV.dev e MITRE, e então usa o Claude para produzir um briefing claro e acionável de vulnerabilidade em 5 seções.

Instalar

cd sentinel/
pip install -e .

Configurar

# Obrigatório: chave da API Anthropic
sentinel config set api-key sk-ant-...

# Opcional: chave da API NVD (limites de taxa maiores)
sentinel config set nvd-key xxxxxxxx-xxxx-...

# Ou use variáveis de ambiente
export ANTHROPIC_API_KEY=sk-ant-...
export NVD_API_KEY=xxxxxxxx-xxxx-...

Uso

# Explica uma CVE (relatório de 5 seções com saída colorida no terminal)
sentinel cve CVE-2024-3094

# Escolhe a persona de saída (veja Personas abaixo)
sentinel cve CVE-2024-3094 --format exec       # Resumo executivo / CISO
sentinel cve CVE-2024-3094 -f engineer          # Assessoria técnica profunda
sentinel cve CVE-2024-3094 -f devops            # Foco em infraestrutura
sentinel cve CVE-2024-3094 -f security          # Relatório padrão de 5 seções

# Também funciona com scan
sentinel scan . --cve CVE-2024-3094 --format exec

# Saída JSON
sentinel cve CVE-2024-3094 --json

# Saída Markdown
sentinel cve CVE-2024-3094 --markdown

# Resumo breve de um parágrafo
sentinel cve CVE-2024-3094 --brief

# Ignora cache, busca dados frescos
sentinel cve CVE-2024-3094 --no-cache

# Modo verboso (mostra detalhes de tempo e origem)
sentinel cve CVE-2024-3094 -v

Personas de Saída (--format / -f)

security (padrão) — Analista de Segurança

O clássico briefing de vulnerabilidade em 5 seções:

Seção	O que responde
🔍 O que é	Explicação em linguagem simples
💥 Como explorar	Vetor de ataque, resumo de PoC, dificuldade
🚨 Quem deve se preocupar	Software afetado, versões, ecossistemas
🛡️ Como corrigir com segurança	Passos de remediação, links de correção
✅ O que testar	Passos de verificação após a correção

exec — Executivo / CISO

Uma leitura de 10 segundos para executivos ocupados. Semáforo de gravidade, impacto nos negócios, uma ação. Sem jargão.

🔴 CRÍTICO — CVE-2024-3094 (Backdoor XZ)

Uma backdoor foi plantada em uma biblioteca de compressão central do Linux usada na maioria dos servidores.
Atacantes podem interceptar e modificar dados em qualquer sistema executando xz 5.6.0-5.6.1.
Downgrade imediato necessário — estimado 15-30 min por servidor, sem tempo de inatividade esperado.

Risco: Comprometimento da cadeia de suprimentos — alta gravidade, exploração ativa
Impacto: Toda infraestrutura Linux executando versões afetadas
Ação necessária: Fazer downgrade do xz para 5.4.6. Verificar com `xz --version`.

engineer — Engenheiro de Software

Mergulho técnico profundo com versões exatas, comandos de atualização, padrões grep e etapas de teste:

Seção	Foco
📦 Bibliotecas e Versões Afetadas	Faixas de versão exatas, cadeias de dependência
🔧 Remediação em Nível de Código	Comandos de atualização específicos, alterações de configuração
🔍 O que Procurar com Grep	Padrões para pesquisar em seu código
🧪 Como Testar a Correção	Comandos de verificação, testes de regressão
⚠️ Mudanças Impactantes	Depreciações, diferenças comportamentais

devops — DevOps / SRE

Foco em infraestrutura com contêineres, K8s, CI/CD e monitoramento:

Seção	Foco
🏗️ Infraestrutura Afetada	Imagens base, contêineres, serviços em nuvem
🚀 Impacto no Deploy	Estratégia de atualização contínua, avaliação de downtime
🔄 Plano de Rollback	Como reverter se a correção causar problemas
📊 Monitoramento e Detecção	Logs, alertas, detecção de exploração
🚨 Passos de Resposta a Incidentes	Passo a passo se explorado ativamente

Varredura de SDKs Mobile

O Sentinel detecta dependências em arquivos de configuração de builds mobile que scanners padrão perdem:

Ecossistema	Arquivos Analisados	Arquivo de Lock (preferido)
Android (Gradle)	build.gradle, build.gradle.kts, gradle/libs.versions.toml	—
iOS (CocoaPods)	Podfile	Podfile.lock
iOS (Swift PM)	Package.swift	Package.resolved
Flutter (Dart)	pubspec.yaml	pubspec.lock

# Varrer um projeto Android
sentinel scan ./meu-app-android --cve CVE-2024-XXXX

# Varrer um projeto iOS
sentinel scan ./meu-app-ios --cve CVE-2024-XXXX

# Varrer um projeto Flutter
sentinel scan ./meu-app-flutter

Funcionalidades:

• Resolve referências a variáveis do Gradle ($firebaseBomVersion) a partir de gradle.properties e blocos ext {}
• Analisa catálogos de versão do Gradle (libs.versions.toml)
• Lida com subespecificações do CocoaPods (Firebase/Analytics)
• Prefere arquivos de lock em vez de manifestos para versões resolvidas precisas
• Suporta arquivos Gradle com DSL Groovy e Kotlin

Scanner de BOM em Runtime para K8s

Varra seu cluster Kubernetes em busca de imagens de contêiner vulneráveis:

# Varrer todos os namespaces
sentinel scan --k8s

# Varrer namespace específico
sentinel scan --k8s --namespace production

# Verificar CVE específica no cluster
sentinel scan --k8s --cve CVE-2024-3094

# Gerar SBOM para todas as imagens em execução
sentinel scan --k8s --sbom

# Varrer uma imagem específica (sem necessidade de conexão com cluster)
sentinel scan --k8s --image nginx:1.25

Configuração RBAC para K8s

O Sentinel precisa de acesso somente leitura. Aplique o manifesto RBAC mínimo:

kubectl apply -f config/k8s-rbac.yaml

Isso cria um ServiceAccount sentinel-readonly com apenas permissões get e list em pods, namespaces, deployments, replicasets, daemonsets e statefulsets. Sem acesso de escrita.

Análise de Caminho de Execução

Determine se uma CVE realmente afeta seu código rastreando se funções vulneráveis são alcançáveis a partir de pontos de entrada:

# Análise completa com interpretação do Claude
sentinel scan . --cve CVE-2024-22195 --execution-path

# Apenas local (nenhum dado enviado externamente)
sentinel scan . --cve CVE-2024-22195 --execution-path --local-only

Vereditos:

• 🔴 ALCANÇÁVEL — ponto de entrada → ... → chamada de função vulnerável encontrada
• ✅ NÃO_ALCANÇÁVEL — pacote vulnerável importado mas função vulnerável nunca chamada
• 🟡 APENAS_IMPORTADO — pacote é uma dependência mas nunca importado diretamente no código-fonte
• 🟠 INCONCLUSIVO — dispatch dinâmico, reflexão ou padrões complexos detectados

Segurança: Quais dados saem do seu ambiente?

Modo	Dados enviados externamente
--local-only	Nada — análise AST puramente local
Padrão	Apenas metadados sanitizados: nomes de funções, nomes de imports, arestas do grafo de chamadas (lista de nós/arestas), descrição da CVE. Nunca o código-fonte.

Todos os dados enviados ao Claude são registrados em ~/.sentinel/audit.log para revisão.

Gerenciamento de Cache

sentinel cache clear    # Limpar todos os dados em cache

Config

Config armazenada em ~/.sentinel/config.json. Cache em ~/.sentinel/cache.db.

sentinel config set api-key <chave>
sentinel config set nvd-key <chave>
sentinel config set model <nome-do-modelo>
sentinel config get api-key

🌐 Servidor Webhook e Integrações

O Sentinel inclui um servidor FastAPI que aceita comandos do Slack, Microsoft Teams, Telegram e uma API REST genérica.

Iniciar o Servidor

sentinel server start                    # Porta padrão 8080
sentinel server start --port 9090        # Porta personalizada
sentinel server start --workers 4        # Múltiplos workers
sentinel server status                   # Verificar se está em execução

API REST