Sentry Security skill

O que ela faz

A skill é do time do Sentry e serve pra revisar o código do próprio Sentry. Ela se baseia em 37 correções de segurança reais lançadas num ano, não em teoria genérica. Primeiro classifica o que está em revisão (endpoint, serializer, template de e-mail, token ou permissão) e lê a referência daquele tipo.

Depois procura os seis problemas mais comuns, na ordem em que mais apareceram: acesso a dado de outra organização (IDOR), checagem de permissão faltando, ganho indevido de cargo, falha em token e sessão, texto do usuário sem tratamento em HTML ou e-mail, e brechas no login com dois fatores.

Pra cada suspeita, segue a requisição por sete camadas, da autenticação ao serializer, porque uma checagem em qualquer uma já protege. Só reporta o que tem confiança alta, ou média como "a conferir", com arquivo e linha, o caminho até a falha, o impacto e o código do conserto. Se não acha nada, diz que não achou.

Nas palavras de quem fez

Quando usar

• Revisar um endpoint novo do Sentry antes do merge
• Checar se uma consulta filtra pela organização certa
• Auditar mudanças em tokens, OAuth ou papéis de membro
• Conferir se nome de time ou de organização vai sem tratamento num e-mail

Depois de instalar, é só pedir assim

• Faz a revisão de segurança desse endpoint novo de projetos e checa se tem IDOR entre organizações
• Revisa esse diff de renovação de token e me diz se um app desativado ainda consegue renovar acesso
• Audita os serializers dessa pasta atrás de campo de responsável que aceita qualquer usuário

Segurança

Gen Agent Trust Hub, Socket e Snyk leem o código da skill atrás de comando perigoso, dado vazando e instrução escondida. Alerta não é reprovação: quer dizer que vale ler o que a skill faz antes de instalar.

• Gen Agent Trust HubPassou
• SocketPassou
• SnykPassou

Perguntas