Auditoria de Segurança de Código-Fonte

Quando Usar

• Revisando um código para defeitos de segurança com análise estática.
• Verificando se uma correção de vulnerabilidade realmente remove o padrão falho.

Cenários de Uso

• Auditoria de caixa branca, revisão de segurança de PR/diferenças.
• SAST como Semgrep / CodeQL / Bandit / gosec.
• APIs perigosas, pontos de injeção, falhas de autenticação, uso indevido de criptografia.
• Divisão de trabalho com supply-chain-security/: esta habilidade foca em lógica de código proprietário, enquanto a cadeia de suprimentos foca em dependências e pipelines.

Fluxo de Trabalho

1. Escopo e Modelo de Ameaças

□ 信任边界：用户输入、文件、反序列化、SSRF、鉴权中间件
□ 高价值资产：鉴权、支付、管理端、密钥处理

2. Escaneamento Automático

semgrep --config auto .
# 或项目规则包
semgrep --config p/owasp-top-ten .

3. Verificação Manual (OBRIGATÓRIO)

□ 每个 SAST 命中：可达性？可利用性？误报？
□ 鉴权：IDOR/越权、缺校验、错误的多租户隔离
□ 注入：SQL/命令/模板/LDAP
□ 加密：硬编码密钥、ECB、自定义 crypto

4. Saída

Finding：位置 + 数据流 + PoC + 修复建议
可选 ATT&CK / CWE 编号

Ferramentas

Referências

• references/sast-review-checklist.md
• ../supply-chain-security/ ../api-security/ ../llm-security/ (Código do Agente)

Contexto de Roteamento

Upstream: MASTER R26
Papel: ops/role-map.md cae
Downstream: Vulnerabilidades de Dependência → supply-chain; Verificação em Tempo de Execução → pentest-tools

Autoverificação de Conclusão da Tarefa

• A verificação é manual e não apenas a saída do scanner?
• Inclui sugestões de correção?
• Está restrito ao escopo de repositórios autorizados?
• Checklist?

Limitações

• A análise estática produz falsos positivos; é necessária triagem manual.
• A cobertura depende do suporte de linguagem do motor SAST escolhido.

Adaptado de zhaoxuya520/reverse-skill (MIT).