nist

Plugin nist from marketplace nist-aegis in GuilhermeOliveira0/nist-aegis. Commands read from the repo's manifest — 21 days ago.

Skills (2)

• audit

  Auditoria de segurança do código-fonte contra padrões NIST (SP 800-218/SSDF como espinha dorsal, SP 800-53 Rev. 5, CSF 2.0, SP 800-63B-4, FIPS 140-3 / SP 800-131A, SP 800-190, SP 800-92), com correlação CWE e OWASP Top 10:2025. Parte de um inventário determinístico do projeto e da consulta de vulner

• cve

  Vulnerabilidades conhecidas em dependências e consulta de CVEs. Varre os lockfiles de um projeto e casa pacote e versão exata no OSV — pela base local, sem rede, ou pela API —, com nota, CWE e KEV da NVD (sca_scan.py); mantém espelhos SQLite do OSV e da NVD em ~/.nist-aegis/bases/; e consulta por id

Subagents (9)

• avaliador-severidade

  Triagem de severidade da auditoria NIST — recebe os achados confirmados e prováveis do validador-falsos-positivos, aplica a rubrica (faixas CVSS 3.1, base pela nota publicada do CVE em dependência, piso de Alta para CVE no KEV, pacote malicioso Crítica) e as cinco regras de desempate, e devolve cada

• cacador-config-infra

  Caçador do domínio de configuração e infraestrutura na auditoria NIST — container como root, imagem base sem pin, segredo em imagem ou IaC, depurador ou console ativo e alcançável, CORS permissivo, headers de segurança ausentes, permissão excessiva (inclusive de arquivo de log), modo debug em produç

• cacador-cripto-segredos

  Caçador do domínio de criptografia e segredos na auditoria NIST — algoritmo proibido, tamanho de chave insuficiente, modo ECB, IV ou nonce estático, PRNG não criptográfico para valor sensível, salt ausente ou fixo, segredo hardcoded em código versionado (a partir da varredura mascarada do inventário

• cacador-dependencias

  Caçador do domínio de cadeia de suprimentos na auditoria NIST — vulnerabilidade conhecida em dependência direta ou transitiva (casada por pacote e versão exata no OSV, com nota, CWE e KEV da NVD), pacote malicioso conhecido, versão sem pin, lockfile ausente, fonte fora do registro público, dependênc

• cacador-injecao

  Caçador do domínio de injeção na auditoria NIST — SQL, NoSQL, comando de SO, path traversal, SSTI, XSS refletido, armazenado e DOM, desserialização insegura, XXE, SSRF, open redirect, LDAP injection, header/CRLF injection e injeção de código no servidor (eval, exec, new Function, vm, expression lang

• cacador-login-permissao

  Caçador do domínio de autenticação, autorização e sessão na auditoria NIST — rota sensível sem autenticação (considerando autenticação global comprovada), IDOR, escalonamento de privilégio, armazenamento de senha, política de senha do SP 800-63B-4, ciclo de vida de sessão, JWT sem verificação, segre

• mapeador-projeto

  Reconhecimento do projeto para a auditoria NIST — parte do inventário determinístico (contagem exata, versionados no git, manifestos, infraestrutura, pipelines, segredos candidatos mascarados, configuração de agente de IA) e acrescenta por leitura os pontos de entrada, a autenticação aplicada global

• redator-relatorio

  Escritor do relatório da auditoria NIST — recebe os achados severizados, os descartados, o mapa, a cobertura dos caçadores, o cabeçalho da consulta de dependências, as tentativas de injeção, o relatório anterior e o critério de escopo; compara execuções só onde os escopos se sobrepõem e só marca cor

• validador-falsos-positivos

  Validador da auditoria NIST — recebe a lista consolidada de candidatos dos cinco caçadores, confere se a evidência existe no arquivo, consulta o guia de falso positivo e valida por duas trilhas (achado com fluxo de dado, rastreado da fonte ao sink; achado sem fluxo, como constante, configuração, aus

Similar plugins