🐺 Vulfy

Scanner de vulnerabilidades rápido, multilinguagem que não perde tempo.

🚀 O que é o Vulfy?

O Vulfy é um scanner de vulnerabilidades ultrarrápido que verifica as dependências do seu projeto em busca de problemas de segurança conhecidos em 9 linguagens de programação. Construído com Rust para máxima performance, ele se integra ao banco de dados OSV.dev para fornecer informações precisas e atualizadas sobre vulnerabilidades.

✨ Principais Características

• 🔥 Extremamente Rápido - Performance assíncrona em Rust com escaneamento concorrente
• 🌍 Suporte a Múltiplos Ecossistemas - npm, Python, Rust, Java, Go, Ruby, C/C++, PHP, .NET
• 📊 Múltiplos Formatos de Saída - Tabela, JSON, CSV, SARIF para diferentes casos de uso
• 🎯 Integração com OSV.dev - Dados reais de vulnerabilidades do banco de Vulnerabilidades de Código Aberto do Google
• ⚡ Zero Configuração - Funciona imediatamente, configure apenas o que precisar
• 🔄 Pronto para CI/CD - Códigos de saída e formatos perfeitos para pipelines automatizados
• 🤖 Automação e Monitoramento - Monitoramento contínuo de repositórios Git com notificações inteligentes
• 📋 Mecanismo de Políticas Avançado - Filtragem personalizada de vulnerabilidades e políticas de segurança
• 🔔 Notificações Multiplataforma - Integrações com Discord, Slack e webhooks

📚 Documentação

📖 Documentação Completa - Guias abrangentes, tutoriais e referência da API

Navegação Rápida

• 🚀 Início Rápido em 5 Minutos - Comece a escanear imediatamente
• ⚙️ Guia de Instalação - Todos os métodos de instalação
• 📋 Referência da CLI - Documentação completa dos comandos
• 🤖 Configuração de Automação - Monitoramento contínuo
• 🔧 Esquema de Configuração - Referência completa da configuração

📦 Instalação

Opção 1: Binários Pré-construídos (Recomendado)

# Linux/WSL
curl -LO https://github.com/mindPatch/vulfy/releases/latest/download/vulfy-linux-x86_64.tar.gz
tar -xzf vulfy-linux-x86_64.tar.gz
sudo mv vulfy /usr/local/bin/

# macOS (Intel)
curl -LO https://github.com/mindPatch/vulfy/releases/latest/download/vulfy-macos-x86_64.tar.gz
tar -xzf vulfy-macos-x86_64.tar.gz
sudo mv vulfy /usr/local/bin/

# macOS (Apple Silicon)
curl -LO https://github.com/mindPatch/vulfy/releases/latest/download/vulfy-macos-aarch64.tar.gz
tar -xzf vulfy-macos-aarch64.tar.gz
sudo mv vulfy /usr/local/bin/

Opção 2: Usando Cargo

cargo install vulfy

Opção 3: A partir do Código Fonte

git clone https://github.com/mindPatch/vulfy.git
cd vulfy
cargo build --release
sudo cp target/release/vulfy /usr/local/bin/

Verificar Instalação:

vulfy --version
# Deve exibir: vulfy 0.1.0

🏃‍♂️ Início Rápido

Escaneamento Básico de Vulnerabilidades

# Escanear o diretório atual
vulfy scan packages

# Escanear um diretório específico
vulfy scan packages --path /caminho/para/projeto

# Mostrar apenas vulnerabilidades de alta gravidade
vulfy scan packages --high-only

Gerar Relatórios

# JSON para automação/CI
vulfy scan packages --format json --output security-report.json

# CSV para análise em planilhas
vulfy scan packages --format csv --output vulnerabilities.csv

# SARIF para a aba de Segurança do GitHub
vulfy scan packages --format sarif --output vulfy.sarif

Integração CI/CD

# Falhar o build se vulnerabilidades de alta gravidade forem encontradas
vulfy scan packages --high-only --quiet || exit 1

# Escanear apenas ecossistemas específicos
vulfy scan packages --ecosystems npm,pypi --no-dev-deps

🎯 Ecossistemas Suportados

📋 Exemplo de Saída

Formato de Tabela Bonito (Padrão)

🔍 Escaneando arquivos de pacote...
📦 Encontrados 6 arquivos de pacote em 4 ecossistemas

🛡️  RELATÓRIO DE VULNERABILIDADES
┌─────────────────────────────────────────┬──────────────┬──────────┬─────────────────┬──────┐
│ Título                                  │ ID CVE       │ Severidade │ Pacote         │ Ano  │
├─────────────────────────────────────────┼──────────────┼──────────┼─────────────────┼──────┤
│ Execução Remota de Código no lodash    │ CVE-2021-123 │ 🔥 Alta  │ [email protected]   │ 2021 │
│ Path Traversal no express              │ CVE-2022-456 │ 🟡 Média │ [email protected]  │ 2022 │
│ Injeção de SQL no sequelize            │ CVE-2020-789 │ 🔥 Alta  │ [email protected] │ 2020 │
└─────────────────────────────────────────┴──────────────┴──────────┴─────────────────┴──────┘

📊 RESUMO DO ESCANEAMENTO
• Total de pacotes escaneados: 42
• Pacotes vulneráveis: 8
• Total de vulnerabilidades: 12
• 🔥 Alta gravidade: 4
• 🟡 Média gravidade: 6
• 🟢 Baixa gravidade: 2

📖 Ver Todos os Formatos de Saída - Exemplos em JSON, CSV, SARIF

🤖 Automação e Monitoramento

O Vulfy inclui um sistema de automação poderoso para monitoramento contínuo de segurança de repositórios Git.

Principais Recursos de Automação

• 📂 Monitoramento de Múltiplos Repositórios - Acompanhe vários repositórios Git com escaneamento por branch
• ⏰ Agendamento Flexível - Horário, diário, semanal ou expressões cron personalizadas
• 🔔 Notificações Inteligentes - Alertas ricos no Discord/Slack com filtragem por gravidade
• 📋 Mecanismo de Políticas Avançado - Filtragem personalizada de vulnerabilidades com correspondência de palavras-chave
• 🔐 Suporte a Autenticação - Tokens do GitHub, chaves SSH, acesso a repositórios privados
• 🏗️ Filtragem por Ecossistema - Segmentação de ecossistemas por repositório para escaneamentos focados

Configuração Rápida de Automação

# Inicializar automação com configuração de exemplo
vulfy automation init --with-examples

# Validar configuração
vulfy automation validate

# Executar escaneamento manual usando a configuração de automação
vulfy automation run

# Iniciar monitoramento contínuo
vulfy automation start --foreground

Exemplo de Configuração

# Monitorar múltiplos repositórios
[[repositories]]
name = "my-web-app"
url = "https://github.com/user/my-web-app.git"
branches = ["main", "develop"]
ecosystems = ["npm", "pypi"]

[repositories.credentials]
username = "git"
token = "your_github_token_here"

# Agendar escaneamentos diários às 02:00 UTC
[schedule]
frequency = "daily"
time = "02:00"
timezone = "UTC"

# Notificações via webhook do Discord
[[notifications.webhooks]]
name = "Alertas de Segurança"
url = "https://discord.com/api/webhooks/..."
webhook_type = "discord"
enabled = true

# Políticas de segurança avançadas
[[policies]]
name = "Problemas Críticos de Autenticação"
enabled = true

[policies.conditions]
title_contains = ["authentication", "auth", "bypass"]
severity = ["high", "critical"]

[policies.actions]
notify = true
priority = "critical"
custom_message = "🚨 Vulnerabilidade crítica de autenticação detectada!"

📖 Guia Completo de Automação - Configuração e detalhamento

🛠️ Uso e Configuração

Opções de Linha de Comando

vulfy scan packages [OPÇÕES]

OPÇÕES:
    -p, --path <CAMINHO>              Diretório a ser escaneado [padrão: diretório atual]
    -f, --format <FORMATO>            Formato de saída: table, json, csv, summary, sarif
    -o, --output <ARQUIVO>            Salvar resultados em arquivo
    -e, --ecosystems <LISTA>          Escanear apenas ecossistemas específicos (separados por vírgula)
    -q, --quiet                       Suprimir saída de progresso
    --high-only                       Mostrar apenas vulnerabilidades de alta/gravidade crítica
    --no-recursive                    Não escanear subdiretórios
    --no-dev-deps                     Ignorar dependências de desenvolvimento

Configuração do Projeto

Crie .vulfy.toml na raiz do seu projeto:

[scan]
ecosystems = ["npm", "pypi", "crates.io"]
min_severity = "medium"
skip_dev_deps = true
ignore_paths = ["node_modules", "vendor", ".git"]

[output]
format = "table"
color = "auto"

[api]
timeout = 30
max_concurrent = 10
retry_attempts = 3

📖 Referência Completa de Configuração - Documentação completa do esquema

🚀 Roteiro

✅ Adicionados Recentemente

• 🤖 Sistema Completo de Automação - Monitoramento de repositórios Git com agendamento
• 🔔 Notificações Multiplataforma - Integrações com Discord, Slack e webhooks
• 📋 Mecanismo de Políticas Avançado - Filtragem personalizada de vulnerabilidades e políticas de segurança
• 🆕 3 Novos Ecossistemas - Suporte a C/C++, PHP e .NET

🔄 Em Breve

• 🔧 Modo de Correção - Atualizar automaticamente pacotes vulneráveis para versões seguras
• 📈 Análise de Tendências - Acompanhar tendências de vulnerabilidades ao longo do tempo
• ⚡ Modo de Observação - Monitoramento em tempo real para novas vulnerabilidades
• 💾 Armazenamento em Banco de Dados - Dados históricos de escaneamento e análises

🔮 Planos Futuros

• 🐳 Escaneamento de Contêineres - Detecção de vulnerabilidades em imagens Docker
• 🌐 Painel Web - Interface centralizada de monitoramento de segurança
• 🔌 Sistema de Plugins - Arquitetura extensível para integrações personalizadas

Tem sugestões de recursos? Abra uma issue e vamos discutir!

🏗️ Arquitetura e Desempenho

O Vulfy é construído com desempenho e confiabilidade como princípios fundamentais:

• ⚡ Design Assíncrono-Primeiro - Construído sobre Tokio para máxima concorrência
• 🔧 Padrão de Estratégia - Parsers plugáveis para diferentes gerenciadores de pacotes
• 🚦 Limitação de Taxa - Uso respeitoso da API com limites configuráveis
• 💾 Eficiência de Memória - Parsers em streaming para projetos grandes
• 🛡️ Resiliência a Erros - Tratamento elegante de erros de rede e parsing
• 🔍 Versionamento Semântico - Comparação adequada de versões usando a crate semver

📖 Mergulho Profundo na Arquitetura - Detalhes da implementação técnica

🤝 Contribuindo

Aceitamos contribuições! Seja correção de bugs, novos recursos ou suporte a ecossistemas.

Início Rápido

git clone https://github.com/mindPatch/vulfy.git
cd vulfy
cargo build
cargo test

Diretrizes de Contribuição

• Siga as melhores práticas do Rust e execute cargo clippy
• Adicione testes para novos recursos
• Atualize a documentação para mudanças visíveis ao usuário
• Mantenha as mensagens de commit claras e descritivas

📖 Guia de Contribuição - Instruções detalhadas de contribuição

🆘 Suporte e Comunidade

Obtendo Ajuda

• 🐛 Relatar Bugs: Criar uma issue
• 💡 Solicitar Recursos: Iniciar uma discussão
• ❓ Perguntas: Discussões do GitHub
• 📖 Documentação: Documentação completa

Solução Rápida de Problemas

• "Nenhum arquivo de pacote encontrado" - Certifique-se de estar em um diretório de projeto com arquivos de pacote suportados
• "Falha na conexão de rede" - Verifique a conectividade com a internet; o Vulfy precisa acessar a API do OSV.dev
• "Permissão negada" - Certifique-se de que o binário vulfy seja executável: chmod +x vulfy

📄 Licença

Este projeto está licenciado sob a Licença MIT - consulte o arquivo LICENSE para detalhes.

🙏 Agradecimentos

• OSV.dev - Banco de dados abrangente de vulnerabilidades
• Comunidade Rust - Ecossistema incrível de crates e ferramentas
• Colaboradores - Todos que tornam o Vulfy melhor