SILENTCHAIN

Extensão de scanner de vulnerabilidades com tecnologia de IA para Burp Suite, com suporte a múltiplos provedores (Ollama, OpenAI, Claude, Gemini)

Nota: Esta é a Edição Comunitária. Edições Comerciais e Profissionais com recursos avançados estão disponíveis separadamente.

🌟 Visão Geral

SILENTCHAIN AI™ - Edição Comunitária é uma extensão do Burp Suite que traz o poder da inteligência artificial para os testes de segurança de aplicações web. Usando modelos avançados de IA, o SILENTCHAIN realiza análise passiva inteligente do tráfego HTTP para identificar vulnerabilidades do OWASP Top 10, configurações incorretas de segurança e possíveis vetores de ataque.

Por que o SILENTCHAIN?

Scanners de segurança tradicionais dependem de assinaturas e padrões predefinidos. O SILENTCHAIN AI™ vai além com:

• 🧠 Análise com IA: Utiliza modelos de linguagem de última geração (Burp AI, Ollama, OpenAI, Claude, Gemini, Azure) para detecção inteligente de vulnerabilidades
• 🎯 Detecção Sensível ao Contexto: Entende a lógica da aplicação e o contexto de negócio, não apenas correspondência de padrões
• ⚡ Varredura em Tempo Real: Analisa o tráfego à medida que flui pelo proxy do Burp
• 📊 Relatórios Profissionais: Gera descobertas detalhadas com mapeamentos CWE e OWASP e orientações de remediação
• 🔄 Zero Falsos Positivos: A validação por IA reduz o ruído e foca em vulnerabilidades reais
• 🆓 Edição Comunitária: Capacidades gratuitas de análise passiva

✨ Recursos

Capacidades Principais

🔍 Análise Passiva com IA

• Análise de tráfego em tempo real através do Proxy do Burp
• Detecção de vulnerabilidades do OWASP Top 10
• Descobertas de segurança mapeadas por CWE
• Pontuação inteligente de confiança

🎨 Interface de Usuário Profissional

• Painel moderno e intuitivo
• Painel de descobertas ao vivo com codificação por cores de severidade
• Rastreamento e gerenciamento de tarefas
• Registro integrado no console

🤖 Suporte Multi-IA

• Burp AI (padrão; em processo, zero configuração; Burp Suite Professional)
• Ollama (local, gratuito, focado em privacidade)
• OpenAI (GPT-4 / GPT-4o)
• Claude (Anthropic)
• Gemini (Google)
• Azure OpenAI / Foundry

📋 Relatórios Inteligentes

• Descrições detalhadas de vulnerabilidades
• Identificação de parâmetros afetados
• Mapeamentos CWE e OWASP
• Recomendações de remediação
• Links diretos para recursos de segurança

🛡️ Privacidade de Dados (DataSanitizer)

• Ativado por padrão — protege automaticamente dados sensíveis antes que saiam da sua máquina
• Redação bidirecional: valores sensíveis são substituídos por espaços reservados [REDACTED_*] antes do envio aos provedores de IA em nuvem e restaurados na resposta
• Detecta e redige:
  • Chaves de API — OpenAI (sk-), GitHub (ghp_), AWS (AKIA), GitLab (glpat-), Slack (xoxb-)
  • Cabeçalhos de autorização — tokens Bearer, autenticação Basic
  • Credenciais — campos de senha/segredo/token, URIs user:pass@host
  • Cookies de sessão — IDs de sessão, tokens CSRF, JWTs, tokens de autenticação
  • Endereços de e-mail
  • Endereços IP e nomes de host — detalhes da infraestrutura alvo
• Ignorado completamente para Ollama (apenas local, nenhum dado sai da sua máquina)
• Pode ser desativado em Settings para usuários avançados

Detecção de Vulnerabilidades

O SILENTCHAIN AI™ detecta uma ampla gama de problemas de segurança, incluindo:

🚀 Início Rápido

Pré-requisitos

• Burp Suite Professional 2025.2+ (recomendado — necessário para o provedor padrão Burp AI) ou Burp Suite Community (funciona com provedores externos, como Ollama)
• Runtime Java 21 (incluído nas versões atuais do Burp)
• Um provedor de IA (um dos seguintes):
  • Burp AI (padrão; zero configuração; requer Burp Suite Professional + uma assinatura ativa do Burp AI)
  • Ollama (gratuito, local, focado em privacidade)
  • Chave de API da OpenAI
  • Chave de API do Claude (Anthropic)
  • Chave de API do Gemini (Google)
  • Azure OpenAI / Foundry

Instalação

1. Baixe a extensão

   • Obtenha o silentchain-community-edition.jar mais recente nos GitHub Releases (este link sempre serve a versão mais nova). Versões específicas (silentchain-community-edition-X.Y.Z.jar) estão na página de Releases.

2. Carregue-a no Burp Suite

   • Vá em Extensions → Installed → Add
   • Defina o tipo de extensão como: Java
   • Selecione o .jar baixado e clique em Next

3. Configure seu provedor de IA

   • Abra a aba SILENTCHAIN Community → ⚙ Settings
   • Escolha um provedor — o Burp AI funciona sem configuração. Para um provedor externo, defina a URL / chave / modelo da API, clique em Test Connection e depois em Save.

4. Comece a escanear

   • Defina o escopo do alvo no Burp (Target → Scope)
   • Ative a análise passiva na aba SILENTCHAIN Community (ela está OFF por padrão) e navegue pelo alvo através do proxy do Burp — ou clique com o botão direito em qualquer requisição → Analyze (SILENTCHAIN) para análise sob demanda
   • As descobertas aparecem na aba SILENTCHAIN Community e como problemas nativos do Burp Scanner

Requisitos

• Multiplataforma: Windows, macOS, Linux
• Burp Suite Community ou Professional (Professional + assinatura de IA para o provedor Burp AI)
• Java 21 (incluído nas versões atuais do Burp)

🔧 Configuração

Configuração do Provedor de IA

Opção 1: Burp AI (Padrão — zero configuração)

Requer Burp Suite Professional + uma assinatura ativa do Burp AI. Nenhuma URL ou chave de API é necessária — a análise é executada em processo através do serviço Burp AI da PortSwigger e consome Créditos Burp AI da sua conta.

• Provedor: Burp AI
• URL / Chave / Modelo da API: (não necessário)

Opção 2: Ollama (Recomendado para uso local / privado)

Gratuito, local, sem necessidade de chaves de API

1. Instale o Ollama:

   root@kitploit:~

   # macOS/Linux
   curl -fsSL https://ollama.ai/install.sh | sh
   
   # Windows
   # Download from https://ollama.ai/download
   

2. Baixe um modelo:

   root@kitploit:~

   ollama pull deepseek-r1
   # or
   ollama pull llama3
   

3. Configure o SILENTCHAIN:

   • Provedor: Ollama
   • URL da API: http://localhost:11434
   • Modelo: deepseek-r1:latest

Opção 3: OpenAI

1. Obtenha a chave de API em platform.openai.com

2. Configure o SILENTCHAIN:

   • Provedor: OpenAI
   • URL da API: https://api.openai.com/v1
   • Chave de API: sk-...
   • Modelo: gpt-4 ou gpt-3.5-turbo

Opção 4: Claude (Anthropic)

1. Obtenha a chave de API em console.anthropic.com

2. Configure o SILENTCHAIN:

   • Provedor: Claude
   • URL da API: https://api.anthropic.com/v1
   • Chave de API: sua chave de API da Anthropic
   • Modelo: claude-3-5-sonnet-20241022

Opção 5: Google Gemini

1. Obtenha a chave de API em makersuite.google.com

2. Configure o SILENTCHAIN:

   • Provedor: Gemini
   • URL da API: https://generativelanguage.googleapis.com/v1
   • Chave de API: sua chave de API do Google
   • Modelo: gemini-1.5-pro

Referência de Configurações

📖 Documentação

Como Funciona

1. Interceptação de Tráfego: O SILENTCHAIN monitora requisições/respostas HTTP através do Proxy do Burp
2. Filtragem de Escopo: Analisa apenas alvos no escopo (configure no Target Scope do Burp)
3. Análise com IA: Envia os dados de requisição/resposta para a IA realizar a análise de segurança
4. Detecção de Vulnerabilidades: A IA identifica problemas de segurança com base nos padrões do OWASP Top 10
5. Geração de Descobertas: Cria relatórios detalhados com severidade, confiança e remediação
6. Deduplicação: Evita descobertas duplicadas para a mesma combinação de URL/parâmetro

Níveis de Confiança das Descobertas

Componentes da Interface

📊 Painel de Estatísticas

• Total de Requisições: requisições HTTP analisadas
• Analisadas: processadas com sucesso
• Ignoradas (Duplicadas): análise redundante evitada
• Descobertas Criadas: total de vulnerabilidades encontradas
• Erros: falhas de análise

📋 Tarefas Ativas

• Mostra as requisições atualmente em processamento
• Rastreamento de status (Na Fila, Analisando, Concluído)
• Medição de duração

🔍 Painel de Descobertas

• Todas as vulnerabilidades detectadas
• Codificação por cores baseada em severidade:
  • 🔴 Alta - Vulnerabilidades críticas
  • 🟠 Média - Problemas de segurança importantes
  • 🟡 Baixa - Vulnerabilidades menores
  • 🔵 Informação - Notas de segurança
• Níveis de confiança
• Data/hora da descoberta

🖥️ Console

• Registro em tempo real
• Status da conexão com a IA
• Progresso da análise
• Mensagens de erro

🎯 Exemplos de Uso

Fluxo de Trabalho Básico

1. Defina o Escopo do Alvo

   root@kitploit:~

   Burp → Target → Scope → Add
   Example: https://example.com/*
   

2. Navegue pela Aplicação

   • Configure o proxy do navegador para o Burp (127.0.0.1:8080)
   • Navegue pela aplicação alvo
   • O SILENTCHAIN analisa em segundo plano

3. Revise as Descobertas

   • Verifique o painel SILENTCHAIN → Findings
   • Ou Target → Issue Activity (integrado ao Burp)

Análise pelo Menu de Contexto

Clique com o botão direito em qualquer requisição em:

• Histórico do Proxy
• Mapa do Site
• Repeater

Selecione: SILENTCHAIN - Analyze Request

Isso força a análise mesmo que a URL tenha sido escaneada anteriormente.

Verificação Manual

1. Selecione uma descoberta no painel de Descobertas
2. Revise a descrição detalhada
3. Verifique os parâmetros afetados
4. Siga os links CWE/OWASP para mais informações
5. Teste manualmente usando o Burp Repeater/Intruder

🆚 Comunitária vs Profissional

⬆️ Atualizar para Profissional

SILENTCHAIN Professional adiciona capacidades de verificação ativa:

• 🎯 Verificação da Fase 2: Valida automaticamente as descobertas com payloads de exploração
• 🛡️ Detecção de WAF: Identifica e se adapta a firewalls de aplicação web
• 📚 Bibliotecas Curadas de Payloads: Payloads OWASP testados em batalha
• 🌐 Testes OOB: Detecta vulnerabilidades cegas (SSRF, XXE, etc.)
• 🔄 Integração com Burp Intruder: Configura automaticamente ataques de fuzzing
• ⚡ Fuzzing Inteligente: Payloads gerados por IA para máxima cobertura

Veja em ação — assista à demonstração completa do SILENTCHAIN Professional para ver a verificação ativa com IA, a evasão de WAF e o fuzzing automatizado em funcionamento.

Contate-nos para licenciamento comercial e edições profissionais: [email protected]

🛠️ Solução de Problemas

Problemas Comuns

"Falha no teste de conexão com a IA"

Solução:

• Verifique se o provedor de IA está em execução (Ollama: ollama list)
• Confirme se a URL da API está correta
• Para provedores em nuvem, confirme se a chave de API é válida
• Verifique a conectividade de rede

"Nenhuma descoberta detectada"

Solução:

• Verifique se o alvo está no escopo (Target → Scope)
• Garanta que o tráfego esteja fluindo pelo Proxy do Burp
• Verifique o Console em busca de erros
• Tente a análise manual (clique com o botão direito → SILENTCHAIN - Analyze Request)

"A extensão falha ao carregar"

Solução:

• Confirme que o tipo de extensão foi definido como Java ao carregar o .jar
• Verifique se o Burp Suite está atualizado (2025.2+ para o provedor Burp AI) com runtime Java 21
• Revise Extensions → Installed → (SILENTCHAIN Community) → Errors / Output
• Baixe novamente o .jar se o arquivo puder estar corrompido

Alto Uso de Memória

Solução:

• Reduza a configuração de Max Tokens (Settings → AI Provider)
• Limpe as tarefas concluídas regularmente
• Use modelos de IA mais leves (por exemplo, llama3 em vez de deepseek-r1)

Modo de Depuração

Ative o registro detalhado:

1. Settings → Advanced
2. Marque Verbose Logging
3. Revise o Console para obter a saída detalhada

🤝 Contribuição

Este projeto não aceita contribuições externas. Consulte CONTRIBUTING.md para obter detalhes.

Relatando Bugs

1. Verifique as issues existentes
2. Crie uma nova issue com:
   • Versão do Burp Suite
   • Versão do SILENTCHAIN
   • Provedor/modelo de IA
   • Passos para reproduzir
   • Mensagens de erro (do Console)

Solicitações de Recursos

Abra uma issue com a tag enhancement:

• Descreva o recurso
• Explique o caso de uso
• Forneça exemplos, se possível

📄 Licença

O SILENTCHAIN AI™ CE é um software de código visível, porém proprietário. Ao usar este software, você concorda com os termos do arquivo LICENSE.

PortSwigger BApp Store

A PortSwigger Ltd. recebe permissão explícita para redistribuir, hospedar e empacotar este software no Burp Suite e na BApp Store gratuitamente para os usuários. Toda outra redistribuição é proibida sem autorização por escrito.

⚖️ Uso Responsável

Não use este software para acesso não autorizado ou atividades fora de sistemas que você possua ou tenha permissão explícita para testar.

Tratamento de Dados e Divulgação de IA de Terceiros

Consulte PRIVACY.md para obter o aviso de privacidade completo, incluindo a tabela de residência de dados por provedor e suas responsabilidades ao escanear alvos sensíveis.

O SILENTCHAIN analisa as requisições e respostas HTTP interceptadas pelo Burp Suite. Dependendo do provedor de IA que você selecionar, esses dados podem ser transmitidos a serviços em nuvem de terceiros.

Quais provedores veem seus dados

Quando um provedor de IA em nuvem é selecionado, o SILENTCHAIN envia o método da requisição HTTP, a URL, os cabeçalhos, o corpo e os dados de resposta de cada requisição no escopo para a API do provedor para análise. O DataSanitizer integrado (ativado por padrão) redige chaves de API, credenciais, tokens de sessão e outros padrões sensíveis antes da transmissão, mas não pode garantir a remoção de todos os dados sensíveis dos corpos de requisição/resposta.

Restrição de dados regulamentados

Não envie dados regulamentados a provedores de IA em nuvem. Isso inclui:

• PHI (Informações de Saúde Protegidas) sob HIPAA
• Dados de titulares de cartão PCI DSS (números de cartão de crédito, CVVs, etc.)
• Dados pessoais da UE sujeitos ao GDPR (o Art. 13 exige a divulgação de subprocessadores)
• Informações pessoais cobertas pela CCPA (Cal. Civ. Code 1798.100 e seguintes)

Se a sua aplicação alvo processar qualquer uma das categorias de dados acima, você deve usar um provedor de IA local (Ollama) ou garantir que possui acordos de processamento de dados apropriados com o provedor em nuvem e autorização legal para transmitir tais dados.

Sem telemetria

O próprio SILENTCHAIN não coleta, armazena ou transmite quaisquer dados de uso, telemetria ou análises. Todos os fluxos de dados ocorrem diretamente entre a sua instância do Burp Suite e o provedor de IA selecionado.

Boas práticas

1. Use o Ollama para ambientes sensíveis ou regulamentados (100% local e privado)
2. Ative o DataSanitizer (ativado por padrão) ao usar provedores em nuvem
3. Revise as políticas de retenção de dados e de privacidade do seu provedor de IA antes do uso
4. Nunca teste sistemas de produção sem autorização
5. Sanitize as descobertas e os logs antes de compartilhar externamente

💬 Suporte e Comunidade

Obtenha Ajuda

• 📚 Documentação: Documentação
• 🐛 Issues: GitHub Issues
• ✉️ E-mail: [email protected]

Mantenha-se Atualizado

• ⭐ Dê uma estrela neste repositório
• 👁️ Acompanhe as atualizações
• 🐦 X (Twitter): @silentchainai

🙏 Agradecimentos

Construído por:

• @xer0dayz na @Sn1perSecurity LLC

Construído com:

• Burp Suite da PortSwigger
• Ollama para IA local
• OpenAI para modelos GPT
• Anthropic para Claude
• Google para Gemini

Inspirado pela dedicação da comunidade de segurança em tornar a web mais segura.

™️ Aviso de Marca Registrada

"SILENTCHAIN AI™", "SILENTCHAIN™" e o logotipo do SILENTCHAIN AI são marcas registradas da SN1PERSECURITY LLC. O uso não autorizado é proibido.

Avisos Legais

Consulte NOTICE para atribuições de marcas registradas de terceiros.