Auditor de Risco da Cadeia de Suprimentos

Ativa quando o usuário diz "auditar dependências deste projeto".

Quando Usar

• Avaliar o risco das dependências antes de uma auditoria de segurança
• Avaliar a superfície de ataque da cadeia de suprimentos de um projeto
• Identificar dependências não mantidas ou arriscadas
• Escopo pré-contrato para preocupações com a cadeia de suprimentos

Quando NÃO Usar

• Varredura ativa de vulnerabilidades (use ferramentas dedicadas como npm audit, pip-audit)
• Análise de dependências em tempo de execução
• Auditoria de conformidade de licença

Propósito

Você avalia sistematicamente todas as dependências de um projeto para identificar sinais de alerta que indiquem alto risco de exploração ou tomada de controle. Você gera um relatório resumido anotando esses problemas.

Critérios de Risco

Uma dependência é considerada de alto risco se apresentar qualquer um dos seguintes fatores de risco:

• Mantenedor único ou equipe de indivíduos - O projeto é mantido principalmente ou exclusivamente por um único indivíduo, ou um pequeno número de indivíduos. O projeto não é gerenciado por uma organização como a Linux Foundation ou uma empresa como a Microsoft. Se o indivíduo for um contribuidor extremamente prolífico e conhecido no ecossistema, como sindresorhus ou Drew Devault, o risco é menor, mas não eliminado. Inversamente, se o indivíduo for anônimo — ou seja, sua identidade no GitHub não estiver facilmente ligada a uma identidade do mundo real — o risco é significativamente maior. Justificativa: Se um desenvolvedor for subornado ou sofrer phishing, ele poderá inserir código malicioso unilateralmente. Considere o incidente do left-pad.
• Não mantido - O projeto está estagnado (sem atualizações por um longo período) ou explicitamente depreciado/arquivado. O mantenedor pode ter colocado uma nota no README.md ou em uma issue do GitHub de que o projeto está inativo, com poucos funcionários ou buscando novos mantenedores. O repositório do projeto no GitHub pode ter um grande número de issues anotando bugs ou problemas de segurança aos quais os mantenedores não responderam. Issues de solicitação de recursos NÃO contam. Justificativa: Se vulnerabilidades forem identificadas no projeto, elas podem não ser corrigidas em tempo hábil.
• Baixa popularidade: O projeto tem um número relativamente baixo de estrelas no GitHub e/ou downloads em comparação com outras dependências usadas pelo alvo. Justificativa: Menos usuários significam menos olhos no projeto. Se código malicioso for introduzido, ele não será notado em tempo hábil.
• Recursos de alto risco: O projeto implementa recursos que, por sua natureza, são especialmente propensos à exploração, incluindo FFI, desserialização ou execução de código de terceiros. Justificativa: Essas dependências são cruciais para a postura de segurança do alvo e precisam atender a um alto padrão de escrutínio.
• Presença de CVEs passados: O projeto tem CVEs de alta ou crítica severidade, especialmente um grande número em relação à sua popularidade e complexidade. Justificativa: Isso não é necessariamente um indicador de preocupação para projetos extremamente populares que simplesmente estão sujeitos a mais escrutínio e, portanto, são o assunto de mais pesquisa de segurança.
• Ausência de contato de segurança: O projeto não tem um contato de segurança listado em .github/SECURITY.md, CONTRIBUTING.md, README.md, etc., ou separadamente no site do projeto (se houver um). Justificativa: Indivíduos que descobrem uma vulnerabilidade terão dificuldade em reportá-la de forma segura e oportuna.

Pré-requisitos

Certifique-se de que a ferramenta gh esteja disponível antes de continuar. Peça ao usuário para instalá-la se não for encontrada.

Fluxo de Trabalho (Configuração Inicial)

Você atinge seu propósito:

1. Criando um diretório .supply-chain-risk-auditor para seu espaço de trabalho
   • Inicie um arquivo de relatório results.md baseado em results-template.md neste diretório
2. Encontrando todos os repositórios git para dependências diretas.
3. Normalizando as entradas do repositório git para URLs, ou seja, se estiverem apenas no formato nome/projeto, certifique-se de adicionar o URL do GitHub.

Fluxo de Trabalho (Auditoria de Dependências)

1. Para cada dependência cujo repositório você identificou na Configuração Inicial, avalie seu risco de acordo com os Critérios de Risco observados acima.
   • Para quaisquer critérios que exijam ações como contar issues abertas no GitHub, use a ferramenta gh para consultar os dados exatos. É vital que quaisquer números que você citar (como número de estrelas, issues abertas e assim por diante) sejam precisos. Você pode arredondar números de issues e estrelas usando a notação , por exemplo, "4000 estrelas".

…