performing-supply-chain-attack-simulation
Simula e detecta ataques à cadeia de suprimentos de software. Verifica pacotes em busca de nomes semelhantes ou hashes incorretos.
O que ela faz
Esta ferramenta simula e detecta ataques à cadeia de suprimentos de software. Ela verifica se há pacotes maliciosos ou com nomes parecidos com os populares, testa se pacotes privados podem ser substituídos por públicos e verifica a segurança dos pacotes instalados.
Quando usar
- ✓Ao auditar a segurança das dependências de um projeto.
- ✓Ao testar a segurança de registros de pacotes.
- ✓Ao responder a incidentes de segurança relacionados a pacotes.
Exemplo do que pedir para a IA
“Verifique se há ataques de cadeia de suprimentos no meu projeto Python.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A ferramenta compara nomes de pacotes com os populares usando uma métrica de similaridade, verifica se pacotes privados podem ser confundidos com públicos e escaneia pacotes instalados em busca de vulnerabilidades conhecidas.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill performing-supply-chain-attack-simulationOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/performing-supply-chain-attack-simulation/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Simulando Ataques à Cadeia de Suprimentos
Visão Geral
Ataques à cadeia de suprimentos de software exploram a confiança em repositórios de pacotes através de typosquatting (registro de nomes semelhantes a pacotes populares), confusão de dependências (publicação de pacotes públicos de versão superior que correspondem a nomes privados) e distribuição de pacotes comprometidos. Esta habilidade detecta esses vetores de ataque calculando a distância de Levenshtein entre nomes de pacotes e pacotes populares do PyPI, verificando a integridade do pacote via comparação de hash SHA-256, escaneando CVEs conhecidas com pip-audit e testando a ordem de resolução de dependências para vulnerabilidades de confusão.
Quando Usar
- Ao realizar avaliações de segurança que envolvam a simulação de ataques à cadeia de suprimentos.
- Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados.
- Ao realizar testes de segurança ou atividades de auditoria agendadas.
- Ao validar controles de segurança através de testes práticos.
Pré-requisitos
- Python 3.9+ com
pip-audit,Levenshtein,requests - Acesso à API JSON do PyPI (https://pypi.org/pypi/{package}/json)
- Acesso à rede para recuperação de metadados de pacotes
Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou tem permissão escrita para testar é ilegal e pode violar leis de fraude computacional.
Principais Áreas de Detecção
- Typosquatting — compara nomes de pacotes com os principais pacotes do PyPI usando limites de distância de edição.
- Confusão de dependências — verifica se nomes de pacotes internos existem no PyPI público com números de versão mais altos.
- Verificação de hash — baixa pacotes e verifica se os digests SHA-256 correspondem aos hashes publicados.
- Escaneamento de vulnerabilidades — audita pacotes instalados contra bancos de dados de avisos OSV e PyPA.
- Anomalias de metadados — sinaliza pacotes com e-mails de autor suspeitos, homepages ausentes ou datas de upload inicial muito recentes.
Saída
Relatório JSON com pontuações de risco por pacote, vetores de ataque detectados, resultados de verificação de hash e descobertas de CVE.
Perguntas frequentes
O que é um ataque de 'typosquatting'?
É quando um atacante registra um nome de pacote muito parecido com um popular, esperando que os desenvolvedores cometam um erro de digitação e instalem o pacote malicioso.
O que é 'dependency confusion'?
É quando um atacante publica um pacote com o mesmo nome de um pacote interno da sua empresa, mas com uma versão mais recente no registro público. Se a configuração não for segura, seu sistema pode baixar o pacote do atacante em vez do seu.
Para que serve a verificação de hash SHA-256?
Garante que o pacote que você baixou é exatamente o mesmo que o desenvolvedor publicou, comparando um código de identificação único (hash) para evitar pacotes adulterados.
Detalhes
Descrição original do autor
Simulates and detects software supply chain attacks: typosquatting detection via Levenshtein distance against popular PyPI package names, dependency confusion testing against private registries, SHA-256 package hash verification, and known-CVE scanning with pip-audit. Use when auditing a project's dependencies for malicious or confused packages, or when assessing package-registry supply-chain risk
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #6155
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
dashboard-builder
Ajuda seu agente a criar painéis de monitoramento úteis. Ele transforma dados em gráficos que respondem a perguntas importantes sobre o sistema.
affaan-m/ECC
dev-team
Simula uma equipe de desenvolvimento colaborativa, onde diferentes papéis respondem a um problema juntos. É útil para obter múltiplas perspectivas sem trocar de agente manualmente.
affaan-m/ECC
ecc-council
Faz seu agente reunir um conselho de quatro vozes para tomar decisões difíceis. É útil quando há várias opções boas e é preciso debater antes de escolher.
affaan-m/ECC