vulnerability-scanner
Faz seu agente analisar profundamente as vulnerabilidades de segurança. Ele ajuda a mapear os pontos fracos e priorizar os riscos para proteger sistemas.
O que ela faz
Esta ferramenta ajuda a encontrar falhas de segurança em sistemas e softwares. Ela analisa como um invasor pensaria para identificar pontos fracos antes que eles sejam explorados.
Quando usar
- ✓Ao lançar um novo aplicativo.
- ✓Após fazer grandes atualizações em um sistema.
- ✓Periodicamente para verificar a segurança.
Exemplo do que pedir para a IA
“Analise a segurança do meu projeto web.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
Ela usa listas de verificação de segurança conhecidas (como OWASP Top 10) e analisa o código e a configuração do seu projeto para encontrar problemas comuns.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add sickn33/agentic-awesome-skills --skill vulnerability-scannerOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/sickn33/agentic-awesome-skills/main/plugins/agentic-awesome-skills-claude/skills/vulnerability-scanner/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Scanner de Vulnerabilidades
Pense como um atacante, defenda como um especialista. Consciência do cenário de ameaças de 2025.
🔧 Scripts de Execução
Execute para validação automatizada:
| Script | Propósito | Uso |
|---|---|---|
scripts/security_scan.py |
Validar princípios de segurança aplicados | python scripts/security_scan.py <project_path> |
📋 Arquivos de Referência
| Arquivo | Propósito |
|---|---|
| checklists.md | OWASP Top 10, Autenticação, API, checklists de proteção de dados |
1. Mentalidade de Especialista em Segurança
Princípios Fundamentais
| Princípio | Aplicação |
|---|---|
| Assumir Violação | Projetar como se o atacante já estivesse dentro |
| Confiança Zero | Nunca confie, sempre verifique |
| Defesa em Profundidade | Múltiplas camadas, sem ponto único |
| Menor Privilégio | Apenas o acesso mínimo necessário |
| Falha Segura | Em caso de erro, negar acesso |
Perguntas de Modelagem de Ameaças
Antes de escanear, pergunte:
- O que estamos protegendo? (Ativos)
- Quem atacaria? (Atores de ameaças)
- Como eles atacariam? (Vetores de ataque)
- Qual o impacto? (Risco de negócio)
2. OWASP Top 10:2025
Categorias de Risco
| Classificação | Categoria | Pense Sobre |
|---|---|---|
| A01 | Controle de Acesso Quebrado | Quem pode acessar o quê? IDOR, SSRF |
| A02 | Configuração Incorreta de Segurança | Padrões, cabeçalhos, serviços expostos |
| A03 | Cadeia de Suprimentos de Software 🆕 | Dependências, CI/CD, integridade da compilação |
| A04 | Falhas Criptográficas | Criptografia fraca, segredos expostos |
| A05 | Injeção | Entrada do usuário → comandos do sistema |
| A06 | Design Inseguro | Arquitetura falha |
| A07 | Falhas de Autenticação | Gerenciamento de sessão, credenciais |
| A08 | Falhas de Integridade | Atualizações não assinadas, dados adulterados |
| A09 | Registro e Alerta | Pontos cegos, sem monitoramento |
| A10 | Condições Excepcionais 🆕 | Tratamento de erros, estados de falha aberta |
Principais Mudanças de 2025
2021 → 2025 Shifts:
├── SSRF merged into A01 (Access Control)
├── A02 elevated (Cloud/Container configs)
├── A03 NEW: Supply Chain (major focus)
├── A10 NEW: Exceptional Conditions
└── Focus shift: Root causes > Symptoms
3. Segurança da Cadeia de Suprimentos (A03)
Superfície de Ataque
| Vetor | Risco | Pergunta a Fazer |
|---|---|---|
| Dependências | Pacotes maliciosos | Auditamos novas dependências? |
| Arquivos de bloqueio | Ataques de integridade | Eles são commitados? |
| Pipeline de compilação | Comprometimento de CI/CD | Quem pode modificar? |
| Repositório | Typosquatting | Fontes verificadas? |
Princípios de Defesa
- Verificar a integridade dos pacotes (checksums)
- Fixar versões, auditar atualizações
- Usar repositórios privados para dependências críticas
- Assinar e verificar artefatos
4. Mapeamento da Superfície de Ataque
O Que Mapear
| Categoria | Elementos |
|---|---|
| Pontos de Entrada | APIs, formulários, uploads de arquivos |
| Fluxos de Dados | Entrada → Processo → Saída |
| Limites de Confiança | Onde autenticação/autorização são verificadas |
| Ativos | Segredos, PII, dados de negócios |
Matriz de Priorização
Risk = Likelihood × Impact
High Impact + High Likelihood → CRITICAL
High Impact + Low Likelihood → HIGH
Low Impact + High Likelihood → MEDIUM
Low Impact + Low Likelihood → LOW
5. Priorização de Riscos
CVSS + Contexto
| Fator | Peso | Pergunta |
|---|---|---|
| Pontuação CVSS | Severidade base | Quão severa é a vulnerabilidade? |
| Pontuação EPSS | Probabilidade de exploração | Está sendo explorada? |
| Valor do Ativo | Contexto de negócio | O que está em risco? |
| Exposição | Superfície de ataque | Acessível pela internet? |
Árvore de Decisão de Priorização
Is it actively exploited (EPSS >0.5)?
├── YES → CRITICAL: Immediate action
└── NO → Check CVSS
├── CVSS ≥9.0 → HIGH
├── CVSS 7.0-8.9 → Consider asset value
└── CVSS <7.0 → Schedule for later
6. Condições Excepcionais (A10 - Novo)
Falha Aberta vs. Falha Fechada
| Cenário | Falha Aberta (RUIM) | Falha Fechada (BOM) |
|---|---|---|
| Erro de autenticação | Permitir acesso | Negar acesso |
| Falha na análise | Aceitar entrada | Rejeitar entrada |
| Tempo limite | Tentar novamente para sempre | Limitar + abortar |
O Que Verificar
- Manipuladores de exceção que capturam tudo e ignoram
- Falta de tratamento de erros em operações de segurança
- Condições de corrida em autenticação/autorização
- Cenários de exaustão de recursos
7. Metodologia de Escaneamento
Abordagem por Fases
1. RECONHECIMENTO
└── Entender o alvo
├── Pilha de tecnologia
├── Pontos de entrada
└── Fluxos de dados
2. DESCOBERTA
…
Perguntas frequentes
O que é OWASP Top 10?
É uma lista das 10 falhas de segurança mais críticas encontradas em aplicações web.
O que é 'Supply Chain Security'?
É a segurança das ferramentas e bibliotecas de terceiros que você usa no seu projeto. Se elas forem comprometidas, seu projeto também pode ser.
Como sei se um problema é grave?
A ferramenta ajuda a priorizar os problemas com base na gravidade (CVSS), na probabilidade de exploração e no valor do que está em risco.
Detalhes
Descrição original do autor
Advanced vulnerability analysis principles. OWASP 2025, Supply Chain Security, attack surface mapping, risk prioritization.
Popularidade
- Estrelas no GitHub
- 48 mil
- Posição no ranking
- #4523
- Licença
- MIT
- Atualizada em
- 15/10/2026
Comentários
- …
Mais skills deste repositório
00-andruia-consultant
Ajuda seu agente a iniciar ou melhorar projetos de IA. Ele analisa código, sugere ferramentas e cria planos de ação em espanhol.
sickn33/agentic-awesome-skills
007
Faz seu agente realizar auditorias de segurança e modelagem de ameaças. É útil para proteger projetos contra ataques e vulnerabilidades.
sickn33/agentic-awesome-skills
10-andruia-skill-smith
Ajuda seu agente a criar ou melhorar ferramentas de IA. Ele define como as ferramentas funcionam, escreve a documentação e valida a estrutura.
sickn33/agentic-awesome-skills
20-andruia-niche-intelligence
Faz seu agente criar um resumo sobre um setor específico. É útil para entender o contexto, regras, padrões de uso e riscos de um projeto, usando fontes confiáveis.
sickn33/agentic-awesome-skills
Skills parecidas
django-security
Ajuda seu agente a implementar práticas de segurança em aplicações Django. Ele foca em autenticação, autorização e prevenção contra ataques comuns, garantindo um código mais seguro.
affaan-m/ECC
laravel-security
Ajuda seu agente a proteger aplicações Laravel contra ameaças. Implementa práticas de segurança para autenticação, autorização e prevenção de ataques comuns.
affaan-m/ECC
module-regression
Ajuda seu agente a gerenciar mudanças em projetos grandes. Garante que alterações em uma parte do código não quebrem outras partes.
affaan-m/ECC