🛡️ Transforme o que o detect encontrou em um plano de defesa: classifique cada achado com uma categoria e uma nota CVSS v4.0 e depois associe a ele a correção a aplicar.

Como usar

Planeje tudo

/lagune-plan

Aponte caminhos

/lagune-plan src/routes/upload.ts

Foque em uma preocupação

/lagune-plan onde dados sensíveis podem vazar

Como funciona

Esta fase continua a partir do detect. O detect já descobriu o que o seu sistema faz e o risco que cada parte carrega, então o plano não repete o risco: ele avalia a gravidade e decide o que fazer a respeito. O plan nunca lê o código, o que obriga cada correção a apontar para algo que o detect de fato detectou. Ele classifica cada achado pelo método CVSS v4.0: uma categoria, um vetor CVSS v4.0 deduzido a partir do que o detect e o charter registraram e calculado pelo hook cvss, e a faixa de prioridade em que essa nota cai. Cada correção também traz o princípio do charter que ela sustenta.

Por exemplo:

• Upload de arquivos (Prioridade: Crítica)
  • Categoria: upload de arquivos sem restrição (CWE-434).
  • CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N (9.3, crítica).
  • Por que esta prioridade: qualquer pessoa alcança o upload pela internet, e ele fica no servidor que guarda os arquivos dos clientes.
  • Sustenta: III. Toda entrada é não confiável até ser validada.
  • Correção: verificar o tipo real e o tamanho do arquivo, renomeá-lo ao salvar e guardar os uploads onde não possam ser executados como código.

A partir daí, você tem uma lista de correções classificada e priorizada, cada uma ligada a um achado e pronta para a próxima fase aplicar. A nota é calculada, nunca estimada: o vetor carrega a exposição e o que está em jogo no projeto como métricas Environmental, e qualquer pessoa pode colá-lo na calculadora da FIRST ou do NVD e chegar à mesma nota.

dica

• Ele se apoia inteiramente no detect. Se um arquivo ou uma preocupação nunca foi mapeado, ele pede que você rode o /lagune-detect sobre isso primeiro.
• Rodar de novo atualiza o plano: as correções concluídas saem e as novas entram.
• O plano de defesa fica em .lagune/memory/plan.md.

Depende do detect

O plan trabalha apenas com o que o /lagune-detect já mapeou, então rode o detect primeiro.

Próximo passo

Aplique o plano: /lagune-harden.

Perguntas frequentes

O /lagune-plan classifica cada achado com uma categoria e uma nota CVSS v4.0 calculada pelo hook cvss e depois associa a ele a correção a aplicar.

Sim. Cada achado recebe um vetor e uma nota CVSS v4.0, calculados pelo hook cvss com a mesma aritmética da calculadora da FIRST, então qualquer pessoa pode colar o vetor lá e chegar à mesma nota.

Não. O plan nunca lê o código, o que obriga cada correção a apontar para algo que o detect de fato detectou.