WebApp Defender v2.0

Squad defensivo completo de seguranca para aplicacoes web. Auditoria passiva + threat hunting + hardening + resposta a incidentes. ZERO testes intrusivos.

---

Sobre

O WebApp Defender e um squad de seguranca defensiva para o AIOS (AI Orchestrated System). Ele encontra vulnerabilidades em aplicacoes web de forma 100% passiva — analisando configuracoes, codigo, policies e logs — e gera codigo de correcao pronto para aplicar.

A v2.0 unifica dois squads em um:

• WebApp Defender (v1.0) — auditoria de app-layer, RLS, auth, compliance
• Blue Team (v1.0) — threat hunting, log analysis, incident response, hardening

Construido a partir de dados reais

Frameworks de referencia: OWASP Top 10, NIST CSF, CIS Controls, NIST 800-53, MITRE ATT&CK, CVSS 3.1, LGPD.

---

Instalacao

Pre-requisitos

• AIOS Core >= 2.1.0
• Claude Code com acesso ao projeto

Setup

1. Copie (ou extraia) a pasta

   webapp-defender/

   para o diretorio

   squads/

   do seu projeto AIOS:

seu-projeto/
└── squads/
    └── webapp-defender/   <-- cole aqui

2. Pronto. O AIOS detecta o squad automaticamente.

Para verificar: abra o Claude Code no diretorio do projeto e digite @shield *help. Se o agente responder, esta funcionando.

---

Quick Start

1. Auditoria rapida (~10 min)

@shield *quick-check

Verifica headers HTTP, CORS e exposicao de OpenAPI. Retorna um resumo com quick wins.

2. Auditoria focada em RLS (~30-60 min)

@shield *rls-audit

Audita todas as tabelas e RPCs do Supabase. Ideal se voce usa Supabase e quer garantir que RLS esta correto.

3. Auditoria completa (~1-3h)

@shield *audit

Pipeline completo: inventario -> scan passivo -> revisao profunda -> compliance LGPD -> remediacao -> relatorio.

---

Arquitetura

@shield (Orchestrador)
|
|-- Tier 1: MINDS (Especialistas)
|   |-- @rls-guardian        -> RLS & Access Control
|   |-- @config-sentinel     -> Configuracoes de seguranca
|   |-- @auth-inspector      -> Autenticacao & autorizacao
|   |-- @compliance-advisor  -> LGPD & privacidade
|
|-- Tier 2: TOOLS (Operacionais passivos)
|   |-- @header-analyzer     -> Analisa headers HTTP
|   |-- @schema-reviewer     -> Analisa exposicao de schema
|   |-- @policy-validator    -> Valida RLS policies em SQL
|   |-- @fix-generator       -> Gera codigo de correcao
|
|-- Tier 3: BLUE TEAM (Hunting, Hardening, Code Review)
    |-- @sentinel            -> Threat hunting & log analysis
    |-- @watchdog            -> Security posture & incident response
    |-- @code-guardian       -> OWASP code review & secrets detection

12 agentes organizados em 4 camadas. Cada agente tem escopo claro e pode ser usado individualmente ou via orchestrador.

---

Todos os Agentes e Comandos

Tier 0: Orchestrador

@shield — Defense Coordinator

O ponto de entrada principal. Coordena os demais agentes, prioriza findings e gera roadmaps.

---

Tier 1: Minds (Especialistas)

@rls-guardian — RLS & Access Control

Especialista em Row Level Security do Supabase. Cobre a causa raiz de 60%+ dos findings CRITICAL.

@config-sentinel — Security Configuration

Especialista em misconfiguracoes: CORS, headers, OpenAPI, PostgREST hints.

@auth-inspector — Authentication & Authorization

Especialista em fluxos de autenticacao, rate limiting, JWT e RBAC.

@compliance-advisor — LGPD & Privacy

Especialista em conformidade com a LGPD e protecao de dados pessoais.

---

Tier 2: Tools (Operacionais)

@header-analyzer — HTTP Headers

@schema-reviewer — Schema Exposure

@policy-validator — RLS Policy Validation

@fix-generator — Remediation Code

---

Tier 3: Blue Team

@sentinel — Threat Hunting & Log Analysis

Especialista em deteccao de ameacas, analise de logs e criacao de regras de deteccao.

Frameworks: MITRE ATT&CK, Sigma rules, YARA, threat intelligence.

@watchdog — Security Posture & Incident Response

Especialista em avaliacao de postura, hardening e planejamento de resposta a incidentes.

Frameworks: NIST CSF, NIST SP 800-61, CIS Controls.

@code-guardian — OWASP Code Review & Secrets Detection

Especialista em revisao de codigo com foco em seguranca, deteccao de secrets e auditoria de dependencias.

Frameworks: OWASP Top 10 (2021), OWASP ASVS, CWE.

---

Workflows

1. Full Audit (@shield *audit)

Pipeline completo de auditoria:

Inventario -> Scan Passivo -> Revisao Profunda -> Compliance LGPD -> Remediacao -> Relatorio

Usa todos os agentes dos Tiers 1 e 2. Tempo estimado: 1-3 horas.

2. RLS Audit (@shield *rls-audit)

Focado em Supabase:

Enumerar Tabelas -> Validar Policies -> Coverage Matrix -> Gerar Fixes SQL

Usa @rls-guardian e @policy-validator. Tempo estimado: 30-60 minutos.

3. Quick Check (@shield *quick-check)

Check rapido:

Headers HTTP -> CORS -> OpenAPI -> Resumo com Quick Wins

Usa @header-analyzer e @config-sentinel. Tempo estimado: ~10 minutos.

---

Checklists Incluidas

---

Top 10 Vulnerabilidades Cobertas

Patterns extraidos de auditorias reais:

---

Stack Alvo

Otimizado para apps construidas com:

Os principios e agentes do Tier 3 (Blue Team) se aplicam a qualquer stack web.

---

Conteudo do Squad

---

Exemplos de Uso

Auditar uma app Supabase rapidamente

@shield *quick-check

# Forneca a URL da aplicacao quando solicitado
# Em ~10 min voce tera um resumo com os problemas mais urgentes

Verificar se todas as tabelas tem RLS

@rls-guardian *check-tables

# Passe o SQL dump ou migrations
# O agente lista cada tabela e seu status de RLS

Gerar fix de CORS para dominios especificos

@fix-generator *fix-cors meuapp.com,staging.meuapp.com

# Gera a config pronta para vercel.json ou Supabase

Iniciar threat hunting nos logs

@sentinel *hunt

# O agente guia voce pelo ciclo:
# Hipotese -> Coletar Dados -> Analisar -> Concluir -> Documentar

Avaliar postura de seguranca com NIST

@watchdog *nist

# Avaliacao contra as 5 funcoes do NIST CSF:
# Identify -> Protect -> Detect -> Respond -> Recover

Buscar secrets no codigo

@code-guardian *secrets

# Varre o codebase procurando API keys, passwords, tokens hardcoded

Verificar compliance LGPD

@compliance-advisor *check-lgpd

# Avaliacao contra artigos da LGPD
# Identifica PII exposta e gaps de conformidade

---

Restricoes (NON-NEGOTIABLE)

Estas restricoes sao absolutas e aplicam-se a todos os agentes do squad:

• NUNCA envia requests que modificam dados no alvo
• NUNCA tenta bypass de autenticacao
• NUNCA faz brute force, fuzzing ou injection
• NUNCA executa exploits ou gera payloads
• APENAS analise passiva: configs, codigo, policies, headers, logs
• SEMPRE gera remediacao para cada finding encontrado
• SEMPRE prioriza por CVSS score e impacto no negocio

---

Estrutura de Arquivos

webapp-defender/
|-- squad.yaml                    # Manifesto do squad
|-- README.md                     # Este arquivo
|-- agents/                       # 12 agentes
|   |-- shield.md                 # Orchestrador
|   |-- rls-guardian.md           # RLS specialist
|   |-- config-sentinel.md        # Config auditor
|   |-- auth-inspector.md         # Auth reviewer
|   |-- compliance-advisor.md     # LGPD advisor
|   |-- header-analyzer.md        # Header analyzer
|   |-- schema-reviewer.md        # Schema reviewer
|   |-- policy-validator.md       # Policy validator
|   |-- fix-generator.md          # Fix generator
|   |-- sentinel.md               # Threat hunter
|   |-- watchdog.md               # Posture analyst
|   |-- code-guardian.md          # Code reviewer
|-- tasks/                        # 38 tasks
|-- workflows/                    # 3 workflows
|-- checklists/                   # 5 checklists
|-- templates/                    # 1 template de relatorio
|-- config/                       # Configuracoes do squad
|-- data/                         # Vulnerability patterns
|-- scripts/                      # Scripts auxiliares
|-- tools/                        # (reservado)

---

Creditos

• Squad: F0livora
• Framework: AIOS — AI Orchestrated System v4.0
• Licenca: MIT

---

webapp-defender v2.0.0 — Encontrar -> Explicar -> Corrigir -> Defender