VulnCheck Local: makinenizden asla çıkmayan açık kaynaklı bir güvenlik denetleyicisi

Bulut olmayan bir güvenlik denetimi

Bir geliştirici, Windows 10/11 ve Ubuntu/Debian Linux için, tamamen denetlenen makinenin üzerinde çalışacak şekilde tasarlanmış açık kaynaklı bir güvenlik denetleyicisi olan VulnCheck Local'ı yayınladı. dev.to'daki proje tanıtım yazısına göre araç, genellikle bir puan üretmeden önce sistem verilerini satıcı sunucularına yükleyen ana akım tarayıcılara bilinçli bir alternatif olarak geliştirildi.

Proje MIT lisanslı ve GitHub'da rtostudioco organizasyonu altında barındırılıyor. Belirtilen hedef kitlesi ise ev laboratuvarları, küçük işletmeler ve güvenlik duvarının açık olup olmadığı ya da SSH'nin sağlamlaştırılıp sağlamlaştırılmadığı gibi temel duruş sorularına, bulut hesabı açmadan veya merkeze rapor veren agent'lar dağıtmadan yanıt almaya ihtiyaç duyan çevrimdışı ya da ağdan izole makineler.

Neleri kontrol ediyor

VulnCheck Local başlatıldığında platformu algılıyor ve toplayıcılarını buna göre seçiyor: Windows'ta salt okunur PowerShell toplayıcıları, Linux'ta Bash toplayıcıları kullanılıyor ve her iki platformda da aynı karneler üretiliyor. Mevcut kural seti, VC-FW-001 ve VC-AC-003 tarzında tanımlayıcılara sahip 27 sürümlü kontrol içeriyor ve CIS Benchmark çizgisinde gruplanarak güvenlik duvarı yapılandırması, hesap güvenliği, uç nokta koruması, servisler, ağa açıklık, güncellemeler ve yedeklemeleri kapsayan kategorilere ayrılıyor.

Her kontrol altı açık durumdan biriyle sonuçlanıyor: PASS, FAIL, WARNING, NOT_APPLICABLE, NOT_ASSESSED veya ERROR. Geliştirici, çalıştırılamayan bir kontrolün asla güvenli olarak raporlanmadığını vurguluyor; bunun yerine bu durum, çalışmanın değerlendirme kapsamını düşürüyor ve yalnızca gerçekten doğrulanmış kanıtlar nihai puana dahil ediliyor.

Puanlama, raporlar ve tek ağ özelliği

Puanlama, önem derecesine göre belirlenmiş kesintilerle sabit bir 0–100 ölçeğinde yapılıyor: kritik bir bulgu 25 puan, yüksek 15, orta 7 ve düşük 3 puan kestiriyor. Bu puanlar, 90 ve üzeri A, 80 B, 65 C ve 50 D harf notlarına karşılık geliyor. Her çalışma, tam geçmişiyle birlikte yerel bir SQLite veritabanına kaydediliyor ve sonuçlar markalı PDF, JSON veya CSV raporları olarak dışa aktarılabiliyor. Arayüz İngilizce ve İspanyolca destekliyor.

Yalnızca tek bir özellik ağa erişebiliyor: bulgular için isteğe bağlı yapay zeka üretimli açıklamalar. dev.to yazısına göre bu özellik tamamen tercihe bağlı, açık bir onayın arkasında yer alıyor ve varsayılan olarak kapalı. Aracın geri kalan her şeyi makinede kalıyor.

Mühendislik tercihleri

İki uygulama detayı öne çıkıyor. Birincisi, toplayıcılar asla kullanıcı girdisinden shell komutları oluşturmuyor; yalnızca 24 PowerShell ve 8 Bash toplayıcısından oluşan sabit bir izin listesinden alınan ID'leri çalıştırıyorlar ve bu, dinamik olarak shell komutu çalıştıran araçları bunaltan komut enjeksiyonu yolunu kapatıyor. İkincisi, motor kesinlikle salt okunur: kanıt topluyor ama yapılandırmayı asla değiştirmiyor, servis devre dışı bırakmıyor veya kimlik bilgilerine dokunmuyor. Giderme rehberi yalnızca görüntüleme amaçlı; sorun, etkisi, önerilen çözüm ve nasıl doğrulanacağı şeklinde yapılandırılmış.

Kaputun altında araç, App Router üzerinde Next.js 16, strict modunda TypeScript, shadcn/ui bileşenleriyle Tailwind CSS 4, SQLite üzerinde Prisma ve rapor üretimi için jsPDF ile geliştirilmiş. Motor, toplama, denetleme, puanlama ve raporlama aşamalarından oluşan dört aşamalı bir pipeline çalıştırıyor; kurallar sürümlü veri olarak saklandığından kural seti geliştikçe geçmiş puanlar karşılaştırılabilir kalıyor. Uygulamanın tüm durumu, yedeklenebilen veya silinebilen tek bir SQLite dosyasında yaşıyor ve kurulum, denetimleri localhost'tan çalıştırmadan önce kısa bir clone, install, environment-copy ve database-migrate dizisinden oluşuyor.

Yayınlanan yol haritası, sonraki adımlar olarak ek kuralları, kuru çalıştırma giderme ve planlanmış denetimleri listeliyor; issue ve pull request'lere açıklar.

Neden önemli

Çoğu uç nokta güvenlik tarayıcısı bağlantı ve bir satıcı ilişkisi varsayıyor: hesaplar, telemetri ve geri rapor veren agent'lar. Ev laboratuvarları, küçük işletmeler ve ağdan izole makineler çoğu zaman bu şartları karşılayamıyor ya da karşılamak istemiyor ve bu araç tam olarak bu boşluğu hedefliyor. Ayrı bir NOT_ASSESSED durumunda ısrar etmesi ayrıca puanlama araçlarındaki gerçek bir başarısızlık modunu ele alıyor: hiç çalışmamış bir kontrolün sessizce geçmiş sayılması ve güvenlik hakkında sahte bir güven üretmesi. Kapsam hâlâ mütevazı — aracın ilham aldığı CIS Benchmark belgeleri yüzlerce sayfaya yayılırken 27 otomatik kural bunun yalnızca küçük bir dilimini kapsıyor — ancak MIT lisanslı, incelenebilir ve tamamen yerel bir başlangıç noktası olarak VulnCheck Local, internete hiç dokunmayan makinelerde kullanıcılarına savunulabilir bir temel puan sunuyor.