Scanners
Security Check inclui 7 scanners especializados que rodam em paralelo durante a auditoria.
Visão geral
| Scanner | Categoria | O que detecta |
|---|---|---|
| SecretScanner | security | API keys, tokens, senhas hardcoded, private keys |
| CodePatternScanner | security | eval(), exec(), SQL injection, XSS, command injection |
| PermissionScanner | security | Permissões excessivas, sudo, chmod 777, setuid |
| FileSystemScanner | security | Path traversal, acesso a /etc/passwd, ~/.ssh/, symlink attacks |
| NetworkScanner | security | HTTP inseguro, IPs hardcoded, SSRF, open redirects |
| LGPDScanner | lgpd | CPF, email, telefone, dados pessoais sem consentimento |
| DependencyScanner | security | Dependências vulneráveis via npm audit / análise de lock files |
Severidades
Cada finding tem uma severidade:
| Severidade | Peso no Score | Cor |
|---|---|---|
| critical | -25 pontos | 🔴 |
| high | -15 pontos | 🟠 |
| medium | -8 pontos | 🟡 |
| low | -3 pontos | 🔵 |
| info | -1 ponto | ⚪ |
O score começa em 100 e deduz pontos por finding. Mínimo: 0.
SecretScanner
Detecta segredos expostos no código:
- AWS Access Keys (
AKIA...) - GitHub Tokens (
ghp_,gho_,ghs_) - Generic API Keys e passwords em strings
- Private keys (RSA, EC, OpenSSH)
- Connection strings com credenciais
CodePatternScanner
Identifica padrões perigosos:
eval(),Function(),setTimeout(string)child_process.exec()com input não sanitizado- SQL queries com concatenação de strings
innerHTML,document.write()(XSS)- Desserialização insegura (
JSON.parsede input externo)
PermissionScanner
Verifica permissões excessivas:
chmod 777,chmod 666- Uso de
sudoem scripts setuid,setgidflags- Capabilities privilegiadas em containers
FileSystemScanner
Detecta acessos ao filesystem suspeitos:
- Path traversal (
../../../etc/passwd) - Acesso a diretórios sensíveis (
~/.ssh/,~/.gnupg/) - Leitura de arquivos de credenciais
- Symlink following sem validação
NetworkScanner
Analisa chamadas de rede:
- URLs HTTP (sem TLS)
- IPs hardcoded (possível SSRF)
- Fetch/XMLHttpRequest para URLs dinâmicas
- Open redirects
- WebSocket inseguro (
ws://)
LGPDScanner
Conformidade com Lei 13.709/2018 (LGPD):
- CPF em código ou configs
- Emails coletados sem consentimento explícito
- Telefones em plain text
- Dados pessoais em logs
- Ausência de termos de consentimento
DependencyScanner
Verifica dependências:
- Vulnerabilidades conhecidas (via análise de
package-lock.json) - Dependências desatualizadas com CVEs
- Pacotes com padrões suspeitos (typosquatting)