Sentinel Audit fija el commit auditado (SHA completo de 40 caracteres), coordina analizadores especializados (CodeQL, Semgrep, Trivy, OSV, Zizmor, Bandit, ShellCheck) contra el motor primario, registra la cobertura real de cada herramienta y conserva la evidencia reproducible. Su panel local añade Pulse para enviar el checkout fijado a Sentinel Cloud, distribución de severidad, enlaces directos a la evidencia en GitHub y una separación heurística entre indicadores de comportamiento malicioso y defectos de seguridad. Jamás declara un repositorio "limpio" cuando un analizador falló o fue omitido.
De preflight determinista hasta la adjudicación humana. Ninguna señal se promueve a candidato sin una autoridad corroborante real.
Fija el commit SHA (40 chars) y verifica canal de divulgación y analizadores disponibles.
Motor primario de señales de comportamiento (AST taint, sink semantics, regex packs).
Enrutamiento selectivo: CodeQL (dataflow), Semgrep (patrones), Trivy/OSV (SCA), Zizmor (CI/CD), Bandit, ShellCheck.
Fusión determinista de lentes. Corroboración cruzada sin alucinaciones.
Revisión final de cobertura, limitaciones y evidencia antes de cualquier reporte.
El dashboard se ejecuta en loopback, guarda los expedientes en SQLite y mantiene separados el motor elegido, la cobertura de cada especialista y la referencia Lite del diff.
Si ya hay una clave local, Activar Pulse abre la configuración con el endpoint público precargado, habilita la política local y encadena el escaneo del PR seleccionado. Un endpoint explícito o SENTINEL_CLOUD_URL sigue teniendo prioridad.
Cada repositorio muestra su conteo de PRs abiertos cuando GitHub lo permite. El inventario de PRs resume la composición de severidad en un donut con conteos y porcentajes, no solo un total.
Cada hallazgo enlaza al archivo y la línea del commit fijado cuando la ruta es segura. Las observaciones que no llegaron a candidato conservan sus señales fuente y el JSON normalizado.
Un escaneo sin hallazgos muestra qué motores corrieron y qué cobertura quedó pendiente. No implica que el cambio esté libre de vulnerabilidades y no se presenta como tal.
Una heurística sobre el texto y la categoría separa indicadores de comportamiento malicioso de defectos de seguridad, con un cubo sin clasificar. No atribuye intención ni sustituye la revisión humana.
Completado, parcial, fallido, no disponible y no ejecutado son estados distintos. Una herramienta omitida o caída degrada el veredicto en lugar de desaparecer del reporte.
Se enlaza exclusivamente a loopback (127.0.0.1:4317), sincroniza automáticamente la sesión activa de GitHub CLI y almacena los expedientes en SQLite local.
sentinel-audit webCapturas de la consola en ejecución real sobre repositorios, Pull Requests y trazabilidad de evidencia inmutable.
Inventario automático de repositorios sincronizados mediante sesión activa de gh CLI (javier20dev25). Muestra estado de especialistas detectados (7/7), base de datos SQLite conectada y panel de escaneo directo de Pull Requests.
Separación heurística transparente entre indicadores de comportamiento malicioso, defectos de seguridad convencionales y señales sin clasificar, con cálculo explícito de riesgo de entrada.
Referencias inmutables: SHA-256 del cuerpo normalizado (RESULT BODY SHA-256), SHA-256 del diff fijado y commit pinned de 40 caracteres con exportación en JSON y SARIF.
Traza secuencial auditable paso a paso: Preflight, Checkout fijado, Motor principal Lite, Enrutamiento selectivo por señales, Especialistas y Adjudicación final.
Desglose forense de hallazgos corroborados (CWE-78 Command Injection, Lifecycle execution) con vínculo directo al código en GitHub y visualización de carga útil.
Motor de búsqueda forense sobre expedientes históricos: filtros por texto de regla, prefijo de commit SHA, repositorio, PR, motor analítico y severidad.
Almacén persistente local en ~/.sentinel-audit/audit.sqlite con tabla de auditorías, estados de ejecución, puntajes de riesgo y firma de diff.
Dashboard gráfico con dona de severidad, ranking de hallazgos por motor (Sentinel Lite, Semgrep, Trivy, Zizmor), superficie más tocada y taxonomía de señales.
Estado operativo y rutas de ejecución de los 7 analizadores locales: CodeQL CLI, Semgrep, Trivy, OSV-Scanner, Zizmor CI/CD, Bandit y ShellCheck.
Gestión segura de claves API con enmascaramiento local, política de activación de Sentinel Cloud Pulse y configuración de endpoints oficiales.
La jerarquía de autoridad es un elemento estructural: una lente de volumen jamás puede promover a candidato por sí sola.
| Herramienta | Rol en la Auditoría | Nivel de Autoridad | Comportamiento y Alcance |
|---|---|---|---|
| Sentinel Cloud Worker Engine | Sensor Primario de Comportamiento | Signal Only | Extrae señales primarias AST, flujos de ejecución y vectores de supply chain. Cobertura explícita, nunca asume limpio. |
| CodeQL | Dataflow & Reachability Authority | Corroborating | Valida caminos completos fuente-a-sumidero (source-to-sink) en código fuente con análisis de grafos profundos. |
| Semgrep | Pattern & AST Semantics Authority | Corroborating | Corrobora construcciones sintácticas específicas y configuraciones peligrosas contra reglas locales versionadas. |
| Bandit | Python Sink Semantics | Corroborating | Especialista de bajo nivel para invocaciones inseguras en el ecosistema Python. |
| ShellCheck | Shell Script Linter | Lint Only | Identifica inyecciones y fallas de entrecomillado en scripts CI/CD; nunca promueve sin flujo de datos. |
| Trivy | SCA & Secrets Discovery | Contextual | Audita dependencias conocidas, manifiestos de paquetes y secretos expuestos. |
| OSV | Open Source Vulnerability Intel | Contextual | Enriquece candidatos con inteligencia de vulnerabilidades abiertas y CVEs existentes. |
| Zizmor | CI/CD Workflow Hardening | Corroborating | Audita workflows de GitHub Actions: permisos excesivos, checkout de PR no confiable, artefactos y expresiones inyectables. |
Audit es una herramienta puramente de terminal, determinista y local. Estos son los comandos canónicos de ejecución.
Abre el panel local en loopback con repos, PRs, severidad, evidencia y activación de Pulse.
Diagnostica salud de herramientas, conectividad y configuraciones locales.
Verifica árbol git limpio, SHA de 40 caracteres y superficie analizable.
Ejecuta pipeline completo con enrutamiento selectivo por archivo.
Ejecuta analizadores corroborantes sobre las señales promovidas.
Genera expediente con desglose exacto de qué se auditó y qué quedó sin cobertura.
Adjudicación por analista humano con registro inmutable de racional.
node audit-runner.js interactive para acceder a la terminal interactiva sin flags, con preflight y confirmación explícita antes de cualquier corrida.