Regras Personalizadas

​

Visão Geral

​

Criando Regras

​

Pelo Dashboard

1. Navegue até Rules no dashboard da ZeroPath e selecione a aba Custom Rules.
2. Clique em “Add Rule”.
3. Dê à regra um nome descritivo.
4. Escreva sua regra em linguagem natural. Por exemplo:
   • “Sinalize qualquer endpoint de API que retorne endereços de e-mail de usuários sem que o chamador tenha escopo de admin”
   • “Encontre instruções de log que incluam corpos de requisição que possam conter senhas ou tokens”
   • “Verifique se todas as consultas ao banco de dados usam consultas parametrizadas em vez de concatenação de strings”
   O editor de regras inclui exemplos clicáveis de regras que você pode usar como ponto de partida.
5. Opcionalmente, defina um escopo de arquivos usando um padrão glob (por exemplo, src/api/**, *.py) para limitar a regra a arquivos específicos. O padrão é todos os arquivos.
6. Escolha o escopo de repositórios: aplique a regra a todos os repositórios (incluindo quaisquer adicionados no futuro) ou selecione repositórios específicos. Você também pode atribuir tags para organizar suas regras.
7. Salve a regra.

​

Pela API

# Create a rule scoped to specific repositories
curl -X POST https://zeropath.com/api/v2/rules/create \
  -H "Content-Type: application/json" \
  -H "X-ZeroPath-API-Token-Id: your-token-id" \
  -H "X-ZeroPath-API-Token-Secret: your-token-secret" \
  -d '{
    "organizationId": "your-org-id",
    "name": "Require Auth on API Endpoints",
    "description": "All API endpoints must require authentication",
    "rule": "All API endpoints must require authentication before processing requests",
    "repositoryIds": ["repo-id-1", "repo-id-2"]
  }'

# Create a rule that applies to all repositories
curl -X POST https://zeropath.com/api/v2/rules/create \
  -H "Content-Type: application/json" \
  -H "X-ZeroPath-API-Token-Id: your-token-id" \
  -H "X-ZeroPath-API-Token-Secret: your-token-secret" \
  -d '{
    "organizationId": "your-org-id",
    "name": "No Hardcoded Secrets",
    "rule": "No hardcoded credentials or API keys in source code",
    "allRepositories": true
  }'

# Create a rule scoped to repositories with specific tags
curl -X POST https://zeropath.com/api/v2/rules/create \
  -H "Content-Type: application/json" \
  -H "X-ZeroPath-API-Token-Id: your-token-id" \
  -H "X-ZeroPath-API-Token-Secret: your-token-secret" \
  -d '{
    "organizationId": "your-org-id",
    "name": "Require Auth on Internal APIs",
    "rule": "All internal API endpoints must require authentication",
    "scope": "tags",
    "tagIds": ["tag-id-1", "tag-id-2"]
  }'

# Explicitly set scope to all repositories
curl -X POST https://zeropath.com/api/v2/rules/create \
  -d '{ "scope": "allRepositories", ... }'

# Explicitly set scope to specific repositories
curl -X POST https://zeropath.com/api/v2/rules/create \
  -d '{ "scope": "repositories", "repositoryIds": ["repo-id-1"], ... }'

​

Como as Regras São Avaliadas

1. Identifica as aplicações no seu repositório (serviços, módulos, pontos de entrada).
2. Avalia cada regra personalizada contra cada aplicação em contexto.
3. Reporta violações como achados, junto aos resultados de SAST, SCA e outros.

​

Escopo das Regras

​

Gerenciando Regras

• Listar todas as regras da sua organização — regras que se aplicam a todos os repositórios exibem “All Repositories”, e regras com escopo de tag exibem o número de tags atribuídas (por exemplo, “2 Tags”) em vez de uma contagem numérica de repositórios
• Visualizar a definição, o escopo e os metadados de uma regra
• Atualizar o nome, a descrição, a definição em linguagem natural ou o escopo de uma regra (passe allRepositories: true para aplicar a todos os repositórios, ou repositoryIds para limitar a repositórios específicos)
• Excluir regras que não são mais necessárias

​

Modo Somente Regras Personalizadas

​

Pacotes de Regras

​

Boas Práticas

1. Seja específico — “Todos os endpoints de API devem validar o token de sessão do usuário antes de processar” é melhor que “As APIs devem ser seguras”.
2. Uma política por regra — crie regras separadas para preocupações separadas, para que as violações sejam acionáveis.
3. Comece amplo e depois refine — comece com políticas de alto nível e adicione detalhes com base nas violações que você observar.
4. Use tags para regras específicas de cada equipe — equipes diferentes podem ter requisitos de segurança diferentes; delimite o escopo das regras usando tags.