Auditoria de Segurança de Código Fonte

AÇÃO NECESSÁRIA (Execute imediatamente após a leitura)

1. NOW: Leia a ../field-journal/precedent-pentest.md ou a autorização de auditoria de código.
2. NOW: Confirme que você tem acesso ao código fonte/repositório (binário sem código fonte → mude para habilidade de RE).
3. NOW: Defina a pilha de linguagens e o escopo (diretório/serviço/diferença de PR).
4. NEXT: Índice de ferramentas; semgrep, etc.
5. ACT: Esboço de modelagem de ameaças → varredura automática → verificação manual.

Cenários de Aplicação

• Auditoria de caixa branca, revisão de segurança de PR/diferença.
• SAST como Semgrep / CodeQL / Bandit / gosec, etc.
• APIs perigosas, pontos de injeção, falta de autorização, uso indevido de criptografia.
• Divisão de trabalho com supply-chain-security/: Esta habilidade foca em lógica de código proprietário, enquanto a cadeia de suprimentos foca em dependências e pipelines.

Fluxo de Trabalho

1. Escopo e Modelagem de Ameaças

□ 信任边界：用户输入、文件、反序列化、SSRF、鉴权中间件
□ 高价值资产：鉴权、支付、管理端、密钥处理

2. Varredura Automática

semgrep --config auto .
# 或项目规则包
semgrep --config p/owasp-top-ten .

3. Verificação Manual (OBRIGATÓRIO)

□ 每个 SAST 命中：可达性？可利用性？误报？
□ 鉴权：IDOR/越权、缺校验、错误的多租户隔离
□ 注入：SQL/命令/模板/LDAP
□ 加密：硬编码密钥、ECB、自定义 crypto

4. Saída

Finding：位置 + 数据流 + PoC + 修复建议
可选 ATT&CK / CWE 编号

Cadeia de Ferramentas

Referências

• references/sast-review-checklist.md
• ../supply-chain-security/ ../api-security/ ../llm-security/ (Código do Agente)

Contexto de Roteamento

Upstream: MASTER R26
Papel: ops/role-map.md cae
Downstream: Vulnerabilidades de dependência → supply-chain; Verificação em tempo de execução → pentest-tools

Autoverificação de Conclusão da Tarefa

• A verificação foi manual e não apenas a saída do scanner?
• Inclui sugestões de correção?
• Está restrito ao escopo do repositório autorizado?
• Checklist?