cyber-audit

Quando Usar

• Use quando o usuário perguntar se a máquina ou os projetos dele foram afetados por uma CVE, violação ou aviso de pacote.
• Use quando um relatório de exposição de segurança local somente leitura for apropriado.

Regras Rígidas

• Somente leitura. Sem instalações, remoções, atualizações, reinicializações, chamadas de rede ou modificações de arquivos fora de ~/Documents/security-audits/.
• Sem sudo. Nunca.
• Um relatório por invocação. Sempre termine escrevendo o arquivo .md (mesmo que o veredito seja "Não afetado" — o histórico de auditoria é importante).
• Se uma verificação exigir um comando que altere o estado, pule-a e anote "não verificado (exigiria alteração de estado)" na tabela. Não o execute.

Fluxo de Trabalho

1. Identificar o escopo. Extraia do aviso: nome do pacote/binário, versões afetadas, plataforma (macOS / Linux / Windows), vetor de ataque (cadeia de suprimentos / RCE / local / rede).
2. Executar verificações em paralelo (ferramenta Bash, várias chamadas em uma única mensagem). Escolha verificações relevantes para o tipo de aviso — não execute todas.
3. Construir a tabela conforme avança. Cada linha = uma verificação + resultado concreto (número da versão, caminho, "Nenhum", "N/A").
4. Escrever o relatório para ~/Documents/security-audits/YYYY-MM-DD-<short-kebab-slug>.md. Use a data de hoje do cabeçalho do ambiente.
5. Informar o usuário o veredito em uma linha + o caminho para o relatório.

Menu de Verificação (escolha o que for relevante)

# --- Node / npm ecosystem (supply-chain advisories) ---
which npm pnpm yarn; npm root -g; pnpm root -g 2>/dev/null
ls /opt/homebrew/lib/node_modules                                  # global npm
find ~ -maxdepth 8 -type d -name "<pkg>" 2>/dev/null \
  | grep -v -E "(Library/Caches|\.Trash)"                          # installed copies
find ~/Documents ~/Desktop ~/Downloads -maxdepth 8 -type f \
  \( -name "package.json" -o -name "package-lock.json" \
     -o -name "pnpm-lock.yaml" -o -name "yarn.lock" \) 2>/dev/null \
  | xargs grep -l "<pkg>" 2>/dev/null                              # direct + transitive

# --- Python ecosystem ---
which python3 pip pipx uv
pip list 2>/dev/null | grep -i "<pkg>"
find ~/Documents -maxdepth 6 -name "requirements*.txt" -o -name "pyproject.toml" \
  -o -name "poetry.lock" -o -name "uv.lock" 2>/dev/null | xargs grep -l "<pkg>" 2>/dev/null

# --- Homebrew / system binaries ---
brew list --versions <formula> 2>/dev/null
which <binary>; <binary> --version 2>/dev/null

# --- Running processes / listeners (for RCE / network CVEs) ---
pgrep -lf "<binary>"
lsof -iTCP -sTCP:LISTEN -P -n 2>/dev/null | grep "<port>"

# --- LaunchAgents / LaunchDaemons (persistence / autostart) ---
ls ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons 2>/dev/null \
  | grep -i "<vendor>"

# --- Env vars that change exposure (e.g. OLLAMA_HOST, listening addr) ---
launchctl getenv <VAR>; grep -r "<VAR>" ~/.zshrc ~/.zprofile ~/.config 2>/dev/null

# --- VS Code / browser extensions (for IDE-targeted advisories) ---
ls ~/.vscode/extensions 2>/dev/null | grep -i "<ext>"

Se o aviso mencionar um ecossistema não listado acima (Rust cargo, Go modules, Ruby gems, Docker images, etc.), aplique o mesmo padrão: caminho de instalação global + grep no manifesto + processos em execução.

Modelo de Relatório

Arquivo: ~/Documents/security-audits/YYYY-MM-DD-<short-kebab-slug>.md

# <Subject> — Audit

**Date:** YYYY-MM-DD
**Host:** the user's Mac

## <CVEs | Advisory> in scope

- **<ID or source> "<Name>"** — <one-line description>. <Affected versions or scope>.

## Audit results

| Check | Result |
|---|---|
| <Check 1> | <Result> |
| <Check 2> | <Result> |

## Verdict

**<Not affected. | Affected. | Partially affected.>**

- <Rationale bullet 1>
- <Rationale bullet 2>

## Action taken

None — diagnostic only, no files modified, no <packages installed/removed | services started/stopped | firewall rules changed>.

## Follow-ups

- <Actionable item, or "None" if truly nothing>

Combine o tom dos dois relatórios existentes em ~/Documents/security-audits/ — conciso, factual, com marcadores, sem rodeios.

Redação do Veredito

• Não afetado. — pacote/binário ausente, ou instalado mas corrigido, ou não em execução e não exposto.
• Afetado. — versão vulnerável presente e alcançável pelo vetor de ataque.
• Parcialmente afetado. — presente mas mitigado (por exemplo, binário instalado mas serviço não em execução, ou listener vinculado apenas ao loopback). Detalhe a mitigação nos marcadores.

Quando Quebrar a Regra de Somente Leitura

…