Saltar para o conteúdo
Nemesis
Pedir uma avaliação

Monitorização de código

Uma revisão de segurança em cada pull request

Ligue os seus repositórios e cada commit recebe análises por regras em segundos. Uma revisão por IA lê os pull requests e segue cada alteração pelo resto da sua base de código. Os resultados chegam ao pull request, cada um com uma correção sugerida. Só os problemas que a alteração introduz o podem reter, segundo uma política que define.

Pedir uma avaliaçãoVeja um exemplo de resultado

Incluída na subscrição anual

Cobertura num relance

  • Cada commit Análises por regras, resposta em segundos
  • Nos pull requests Uma revisão por IA que segue a alteração pela sua base de código
  • Só problemas novos A dívida técnica existente nunca bloqueia um pull request
  • Nunca armazenado O seu código-fonte é analisado e depois o espaço de trabalho é destruído

O que analisamos

O seu código, as suas dependências e como é lançado

Quatro tipos de análise por regras correm em cada commit. Cada resultado indica onde está o problema, qual é a gravidade e como o corrigir.

  • Fragilidades no código

    Fragilidades no próprio código, sinalizadas na linha.

    As análises por regras leem cada commit à procura de tipos conhecidos de fragilidade, como input do utilizador que chega a uma consulta, a um caminho de ficheiro ou a um comando. Cada resultado aponta o ficheiro e a linha e indica o que mudar.

  • Dependências

    Problemas conhecidos, pacotes adulterados e licenças, diretas e indiretas.

    Analisamos as dependências diretas e indiretas quanto a problemas conhecidos e indicamos a atualização que corrige cada um. Os pacotes maliciosos ou adulterados são sinalizados, e inclui análise de licenças e uma lista de materiais do software.

  • Segredos em commits

    Chaves e palavras-passe no seu repositório, incluindo o histórico.

    Encontramos segredos em commits nos seus repositórios, no código atual e no histórico, e sinalizamos os que ainda estão ativos. Os valores são mascarados onde quer que os mostremos.

  • Infraestrutura e contentores

    A configuração lançada com o seu código, analisada com ele.

    As definições de infraestrutura e a configuração de contentores são analisadas quanto a definições de risco, como armazenamento aberto à internet ou um contentor a correr como root. Cada resultado indica a definição e sugere uma mais segura.

Dois revisores

Regras para a rapidez, revisão por IA para o discernimento

As análises por regras e a revisão por IA encontram coisas diferentes. Cada uma corre quando é mais útil, e os resultados chegam numa só análise.

  • Análises por regras

    Em cada commit, resposta em segundos.

    Cada commit é analisado segundo regras para fragilidades no código, dependências, segredos e configuração. Os resultados chegam em segundos, enquanto a alteração ainda está fresca.

    Porque importa

    Um resultado por regras pode bloquear um merge quando a sua política o determina.

  • Revisão por IA

    Nos pull requests, até à quota mensal do seu plano.

    A revisão por IA lê o que um pull request altera e depois segue-o pelo resto da sua base de código. Apanha o que escapa às regras: erros de controlo de acesso, falhas de lógica de negócio, design inseguro, erros de autenticação e de sessão, e input do utilizador que atravessa ficheiros até uma operação perigosa.

    Porque importa

    Um resultado sinalizado apenas pela revisão por IA avisa ou retém. Só bloqueia quando tem confiança elevada ou quando uma análise por regras o confirma, de modo que uma conclusão incerta não pode, por si só, bloquear um merge.

Como funciona

De um commit a uma correção que a sua equipa faz merge

A monitorização de código corre em cada commit e pull request enquanto a sua subscrição durar. A sua parte é ligar os seus repositórios e definir a política.

  1. 01Ligar

    Liga os seus repositórios

    Instale a nossa aplicação no GitHub e escolha os repositórios a cobrir. Pode ler código, publicar análises e comentários nos pull requests e abrir pull requests com correções sugeridas. Nunca faz merge de nada.

  2. 02Analisar

    Cada alteração é analisada

    As análises por regras correm em cada commit em segundos, e a revisão por IA lê os seus pull requests. Reanálises agendadas apanham as dependências que se tornam um risco após o lançamento do código.

  3. 03Decidir

    A sua política decide o que acontece

    Para cada gravidade escolhe: avisar, reter ou bloquear. Uma retenção espera que uma pessoa designada aprove, e a exceção regista quem, porquê e até quando.

  4. 04Corrigir

    A sua equipa faz merge da correção

    Cada resultado traz uma correção sugerida, e os que se podem corrigir chegam como um pull request pronto. Um programador revê e faz merge. Não se faz merge de nada automaticamente.

Anatomia de um resultado

Tudo de que um programador
precisa para o corrigir

Um resultado de código é mais do que um número de linha. Indica onde está o problema, o que permite, se foi comprovado, o que a sua política faz com ele e como o resolver.

O que cada parte lhe diz

  1. Onde está. O repositório, o ficheiro e a linha, mostrados no pull request onde a alteração foi feita.

  2. O que o sinalizou. Uma análise por regras, a revisão por IA, ou ambas quando concordam.

  3. Gravidade e impacto. Quão grave é e o que permite, em palavras simples.

  4. Estado da prova. Se está sinalizado, ou comprovado na sua aplicação em execução pela avaliação.

  5. Decisão da política. Se avisa, retém ou bloqueia o pull request, e quem aprovou se foi concedida uma exceção.

  6. Correção sugerida. Como o corrigir, como um pull request pronto quando se pode preparar.

Exemplo de resultadoExample Corp

Consulta de conta não confirma o titular do registo

Onde está
example-corp/shop-api · api/accounts/get.ts · linha 48 · Pull request #482
O que o sinalizou
Revisão por IAControlo de acesso
Gravidade e impacto
AltaQualquer utilizador autenticado lê nome, morada e histórico de encomendas de outro cliente.
Estado da prova
Comprovado na aplicação em execuçãoLigado a: Qualquer utilizador autenticado lê registos de clientes · api.example.com
Decisão da política
Retido · aprovado pelo responsável de Engenharia · exceção expira a 18 out. 2026
Correção sugerida
Confirmar que o registo é do utilizador autenticado antes de o devolver, e adicionar um teste que o cubra.Pull request de correção #489 pronto

Exemplo ilustrativo para a Example Corp em example.com. Não é um resultado real.

Código e sistemas em funcionamento

Comprovado, não só sinalizado

Uma análise de código indica o que pode estar errado. O Nemesis também avalia a sua aplicação em execução, onde um resultado no seu código pode ser comprovado. A sua equipa sabe quais são os problemas de código reais.

  • Um problema, duas vistas

    O resultado de código mostra o ficheiro e a linha. O resultado da avaliação mostra o que permitiu na aplicação em execução, com as evidências.

  • O estado diz comprovado

    Um resultado de código que a avaliação comprovou traz o estado: comprovado na aplicação em execução.

  • Por comprovar, fica aberto

    Um resultado de código que não foi comprovado não é descartado. Fica aberto, marcado como sinalizado.

Como decorrem as avaliações

Tratamento

O seu código-fonte, analisado e nunca armazenado

O seu código-fonte é o mais sensível que partilha connosco. Estas regras aplicam-se a cada análise, e os resultados seguem as mesmas regras do resto dos seus dados de cliente.

  • Analisado e depois destruído

    Cada análise corre num espaço de trabalho temporário, destruído quando a análise termina. O seu código-fonte nunca é armazenado. Conservamos apenas os resultados.

  • Segredos mascarados

    Os segredos encontrados no seu código são mascarados onde quer que os mostremos. Nunca são mostrados em texto simples.

  • Acesso mínimo

    A aplicação pode ler código, publicar análises e comentários nos pull requests e abrir pull requests com correções sugeridas. Nunca faz merge de nada e só cobre os repositórios que escolher.

Como protegemos os seus dados

Incluída na subscrição anual

Apanhe o problema no pull request,
não em produção

Vem acompanhada de segurança ofensiva nos seus sistemas em funcionamento, monitorização diária da dark web e um relatório escrito por semana. Diga-nos que repositórios quer cobrir.

Pedir uma avaliação

Contratamos quem lê as letras pequenas.