SmolerSAST.Rules.Base 0.3.0

SmolerSAST

Plataforma modular de análise estática de segurança (SAST) para codebases .NET, voltada ao mercado financeiro brasileiro.

Diferencial: detecção baseada em Roslyn symbol resolution (não regex), com regras específicas para LGPD, Bacen 4.658 e CVM.

Instalação

# Como dotnet tool global
dotnet tool install --global SmolerSAST

# Como library no seu projeto
dotnet add package SmolerSAST.Core
dotnet add package SmolerSAST.Rules.Base
dotnet add package SmolerSAST.Rules.BR

Quick Start

# Escanear código C#
smolersast scan --path ./src --output report.sarif

# Gerar SARIF + relatório Markdown pt-BR
smolersast scan --path ./src --output report.sarif --format both

# Listar todas as 42 regras
smolersast rules

# Verificar integridade dos artefatos
smolersast verify --manifest manifest.json

# Versão e info
smolersast version

Exemplo de output

SmolerSAST v0.3.0 — Scanning: ./src
Analysis complete: 13 finding(s) in 5509ms
  Rules executed: 42
  Syntax trees: 4
  SARIF report: report.sarif
  Markdown report: report.md
  [Critical] SMOL0009: Instanciação de BinaryFormatter detectada.
  [Critical] SMOL0033: Segredo hardcoded em 'ApiKey'.
  [High]     SMOL1001: PII (cpf) detectado em log statement. LGPD Art. 46.
  ...

Pacotes NuGet

42 Regras de Segurança

Injection (SMOL0001-0008)

Deserialization (SMOL0009-0016)

Cryptography (SMOL0017-0024)

ASP.NET (SMOL0025-0032)

Configuration & Secrets (SMOL0033-0040)

Brasil — LGPD (SMOL1001-1006)

Brasil — Bacen / CVM (SMOL1007-1012)

Arquitetura

                    ┌──────────────────────┐
                    │   SmolerSAST.Cli     │  ← scan, rules, verify, report, version
                    └──────────┬───────────┘
                               │
                    ┌──────────▼───────────┐
                    │  AnalysisPipeline     │  ← Orquestrador paralelo
                    └──────────┬───────────┘
                               │
              ┌────────────────┼────────────────┐
              │                │                │
   ┌──────────▼──────┐ ┌──────▼──────┐ ┌───────▼───────┐
   │ Compilation     │ │ Symbol      │ │ Rule          │
   │ Acquirer        │ │ Index       │ │ Registry (42) │
   └─────────────────┘ └─────────────┘ └───────┬───────┘
                                                │
                              ┌─────────────────┼─────────────────┐
                              │                 │                 │
                    ┌─────────▼───┐   ┌─────────▼───┐   ┌────────▼────┐
                    │ Rules.Base  │   │ Rules.BR    │   │ Analyzer   │
                    │ 36 regras   │   │ 6 regras    │   │ IDE NuGet  │
                    └─────────────┘   └─────────────┘   └─────────────┘
                                                │
                                     ┌──────────▼──────────┐
                                     │ SARIF + Markdown     │
                                     │ + Manifest SHA-256   │
                                     └─────────────────────┘

Estrutura do Projeto

src/
├── SmolerSAST.Core/              # Motor de análise (Roslyn)
│   ├── Compilation/              #   Aquisição de compilação
│   ├── Indexing/                 #   Indexação de símbolos
│   ├── Pipeline/                 #   Orquestrador do pipeline
│   └── Rules/                    #   Framework (SmolerRule, Finding, RuleId)
├── SmolerSAST.Rules.Base/       # 36 regras .NET
│   ├── Injection/                #   SMOL0001-0008
│   ├── Deserialization/          #   SMOL0009-0016
│   ├── Cryptography/             #   SMOL0017-0024
│   ├── AspNet/                   #   SMOL0025-0032
│   └── Configuration/            #   SMOL0033-0040
├── SmolerSAST.Rules.BR/         # 6 regras brasileiras
│   ├── Lgpd/                     #   SMOL1001-1006
│   ├── Bacen/                    #   SMOL1007-1010
│   └── Cvm/                      #   SMOL1011-1012
├── SmolerSAST.Reporting/        # SARIF 2.1.0 + Markdown + Manifest
├── SmolerSAST.Cli/              # CLI (scan, rules, verify, report, version)
└── SmolerSAST.Analyzer/         # Roslyn Analyzer NuGet (IDE squigglies)

tests/
├── SmolerSAST.Core.Tests/           # 34 testes core
├── SmolerSAST.Rules.Base.Tests/     # 126 testes de regras
└── SmolerSAST.Integration.Tests/    # 7 testes (determinismo + performance)

fixtures/
├── cli-scan-sample/             # Exemplo simples (5 findings)
└── banking-sample/              # Cenário bancário (13 findings)

docs/
├── github-actions.md            # Guia CI/CD GitHub Actions
├── azure-devops.md              # Guia CI/CD Azure DevOps
├── jenkins.md                   # Guia CI/CD Jenkins
└── rule-reference.txt           # Referência completa de regras

Integração CI/CD

Guias prontos para:

• GitHub Actions — com upload SARIF para GitHub Security
• Azure DevOps — pipeline YAML com artifacts
• Jenkins — Jenkinsfile com Warnings Next Generation

Criando uma Nova Regra

public sealed class MyRule : SmolerRule
{
    public override RuleId Id { get; } = new("SMOL0042");
    public override ImmutableArray<int> CweIds { get; } = [79];
    public override string OwaspCategory => "A03:2021";
    public override RuleSeverity Severity => RuleSeverity.High;
    public override RulePrecision Precision => RulePrecision.Medium;
    public override ImmutableArray<string> Tags { get; } = ["xss"];
    public override string DescriptionPtBr => "XSS detectado...";
    public override string DescriptionEnUs => "XSS detected...";
    public override string RemediationGuidancePtBr => "Sanitize output...";

    public override void RegisterActions(AnalysisContext context)
    {
        context.RegisterSyntaxNodeAction(Analyze, SyntaxKind.InvocationExpression);
    }

    private static void Analyze(SyntaxNodeAnalysisContext ctx)
    {
        // Usar ctx.SemanticModel para symbol resolution — NUNCA regex
    }
}

Desenvolvimento

dotnet restore                    # Restaurar dependências
dotnet build -c Release           # Compilar (zero warnings)
dotnet test -c Release            # 167 testes
smolersast scan --path fixtures/banking-sample  # Testar

Princípios de Design

• Symbol resolution, não regex — toda detecção usa SemanticModel do Roslyn
• Regras stateless — nenhum estado mutável em instâncias de SmolerRule
• False positive rate como métrica — cada regra declara sua precisão
• Determinismo — mesmo input = mesmo output (verificado por testes)
• Imutabilidade — Finding, FindingLocation, RuleId são records imutáveis
• Zero warnings — build com TreatWarningsAsErrors=true
• Bilíngue — mensagens pt-BR (primário) e en-US (secundário)

Licença

MIT