🛡️ Sentinel — CLI для объяснения CVE

«Затрагивает ли меня эта CVE?» — ответ за секунды, а не часы.

Sentinel принимает идентификатор CVE, извлекает данные из NVD, OSV.dev и MITRE, а затем использует Claude для создания чёткого, применимого на практике пятисекционного отчёта об уязвимости.

Install

cd sentinel/
pip install -e .

Configure

# Required: Anthropic API key
sentinel config set api-key sk-ant-...

# Optional: NVD API key (higher rate limits)
sentinel config set nvd-key xxxxxxxx-xxxx-...

# Or use environment variables
export ANTHROPIC_API_KEY=sk-ant-...
export NVD_API_KEY=xxxxxxxx-xxxx-...

Usage

# Explain a CVE (5-section report with colored terminal output)
sentinel cve CVE-2024-3094

# Choose output persona (see Personas below)
sentinel cve CVE-2024-3094 --format exec       # Executive / CISO summary
sentinel cve CVE-2024-3094 -f engineer          # Deep technical advisory
sentinel cve CVE-2024-3094 -f devops            # Infrastructure-focused
sentinel cve CVE-2024-3094 -f security          # Default 5-section report

# Also works with scan
sentinel scan . --cve CVE-2024-3094 --format exec

# JSON output
sentinel cve CVE-2024-3094 --json

# Markdown output
sentinel cve CVE-2024-3094 --markdown

# Brief one-paragraph summary
sentinel cve CVE-2024-3094 --brief

# Skip cache, fetch fresh data
sentinel cve CVE-2024-3094 --no-cache

# Verbose mode (show timing and source details)
sentinel cve CVE-2024-3094 -v

Output Personas (--format / -f)

security (по умолчанию) — аналитик безопасности

Классический пятисекционный отчёт об уязвимости:

exec — руководитель / CISO

Чтение на 10 секунд для занятых руководителей. Светофор серьёзности, бизнес-влияние, одно действие. Без жаргона.

🔴 CRITICAL — CVE-2024-3094 (бэкдор XZ)

В основную библиотеку сжатия Linux, используемую на большинстве серверов, был внедрён бэкдор.
Злоумышленники могут перехватывать и изменять данные на любой системе с xz 5.6.0-5.6.1.
Требуется немедленный откат — ориентировочно 15-30 минут на сервер, простоев не ожидается.

Риск: Компрометация цепочки поставок — высокая серьёзность, активная эксплуатация
Влияние: Вся инфраструктура Linux под уязвимыми версиями
Необходимые действия: Откатить xz до версии 5.4.6. Проверить командой `xz --version`.

engineer — инженер-программист

Глубокое техническое погружение с точными версиями, командами обновления, шаблонами grep и шагами тестирования:

devops — DevOps / SRE

Сфокусировано на инфраструктуре: контейнеры, K8s, CI/CD и мониторинг:

Mobile SDK Scanning

Sentinel обнаруживает зависимости в конфигурациях сборки мобильных приложений, которые пропускают стандартные сканеры:

# Scan an Android project
sentinel scan ./my-android-app --cve CVE-2024-XXXX

# Scan an iOS project
sentinel scan ./my-ios-app --cve CVE-2024-XXXX

# Scan a Flutter project
sentinel scan ./my-flutter-app

Возможности:

• Разрешает ссылки на переменные Gradle ($firebaseBomVersion) из gradle.properties и блоков ext {}
• Анализирует каталоги версий Gradle (libs.versions.toml)
• Обрабатывает подспецификации CocoaPods (Firebase/Analytics)
• Предпочитает файлы блокировки манифестам для точных разрешённых версий
• Поддерживает файлы Gradle как на Groovy, так и на Kotlin DSL

K8s Runtime BOM Scanner

Сканируйте ваш кластер Kubernetes на наличие уязвимых образов контейнеров:

# Scan all namespaces
sentinel scan --k8s

# Scan specific namespace
sentinel scan --k8s --namespace production

# Check specific CVE across cluster
sentinel scan --k8s --cve CVE-2024-3094

# Generate SBOM for all running images
sentinel scan --k8s --sbom

# Scan a specific image (no cluster connection needed)
sentinel scan --k8s --image nginx:1.25

K8s RBAC Setup

Sentinel требуется доступ только для чтения. Примените минимальный манифест RBAC:

kubectl apply -f config/k8s-rbac.yaml

Это создаёт ServiceAccount sentinel-readonly с правами только get и list на модули, пространства имён, развёртывания, репликасеты, daemonsets и statefulsets. Нет прав на запись.

Execution Path Analysis

Определите, действительно ли CVE затрагивает ваш код, проследив, доступны ли уязвимые функции из точек входа:

# Full analysis with Claude interpretation
sentinel scan . --cve CVE-2024-22195 --execution-path

# Local-only (no data sent externally)
sentinel scan . --cve CVE-2024-22195 --execution-path --local-only

Результаты:

• 🔴 ДОСТИЖИМО — точка входа → ... → найдено обращение к уязвимой функции
• ✅ НЕДОСТИЖИМО — уязвимый пакет импортирован, но уязвимая функция никогда не вызывается
• 🟡 ТОЛЬКО ИМПОРТИРОВАНО — пакет является зависимостью, но никогда не импортируется напрямую в исходном коде
• 🟠 НЕОПРЕДЕЛЁННО — обнаружена динамическая диспетчеризация, рефлексия или сложные паттерны

Security: What data leaves your environment?

Все данные, отправленные Claude, записываются в ~/.sentinel/audit.log для проверки.

Cache Management

sentinel cache clear    # Clear all cached data

Config

Конфигурация хранится в ~/.sentinel/config.json. Кэш — в ~/.sentinel/cache.db.

sentinel config set api-key <key>
sentinel config set nvd-key <key>
sentinel config set model <model-name>
sentinel config get api-key

🌐 Webhook Server & Integrations

Sentinel включает в себя сервер на FastAPI, который принимает команды от Slack, Microsoft Teams, Telegram и общего REST API.

Start the Server

sentinel server start                    # Default port 8080
sentinel server start --port 9090        # Custom port
sentinel server start --workers 4        # Multiple workers
sentinel server status                   # Check if running

REST API

# Explain a CVE
curl -X POST http://localhost:8080/api/cve \
  -H "Content-Type: application/json" \
  -d '{"cve_id": "CVE-2024-3094"}'

# Scan a repo
curl -X POST http://localhost:8080/api/scan \
  -H "Content-Type: application/json" \
  -d '{"repo_url": "https://github.com/user/repo", "cve_id": "CVE-2024-3094"}'

# Health check
curl http://localhost:8080/health

Slack Integration

sentinel setup slack   # Interactive setup guide

1. Создайте приложение Slack с помощью config/slack-manifest.yml
2. Установите переменные окружения:
   root@kitploit:~

   export SLACK_SIGNING_SECRET=<signing-secret>
   export SLACK_BOT_TOKEN=xoxb-<bot-token>
   

3. Укажите URL слэш-команд: https://<ваш-домен>/slack/commands
4. Укажите URL событий: https://<ваш-домен>/slack/events
5. Используйте: /sentinel cve CVE-2024-3094 или @Sentinel cve CVE-2024-3094

Microsoft Teams Integration

sentinel setup teams   # Interactive setup guide

1. Создайте исходящий вебхук в вашем канале Teams, указав https://<ваш-домен>/teams/webhook
2. Установите переменные окружения:
   root@kitploit:~

   export TEAMS_WEBHOOK_SECRET=<base64-hmac-secret>
   

3. Упомяните бота: @Sentinel cve CVE-2024-3094

Telegram Integration

sentinel setup telegram   # Interactive setup guide

1. Создайте бота через @BotFather
2. Установите переменные окружения:
   root@kitploit:~

   export TELEGRAM_BOT_TOKEN=<bot-token>
   

3. Установите вебхук: curl -X POST "https://api.telegram.org/bot<TOKEN>/setWebhook" -d '{"url":"https://<ВАШ_ДОМЕН>/telegram/webhook"}'
4. Отправляйте команды: /cve CVE-2024-3094, /scan <репозиторий> --cve CVE-XXXX

Docker Deployment

cd docker/
# Set env vars in .env file or export them
docker compose up -d

# With nginx reverse proxy:
docker compose --profile with-nginx up -d

Endpoints