Program Openrasp

---
name: program-openrasp
description: Guia Definitivo e Padrões de Engenharia para Baidu OpenRASP (github.com/baidu/openrasp), cobrindo o framework open-source de Runtime Application Self-Protection (RASP), instalação de agentes Java e PHP, painel OpenRASP Cloud, desenvolvimento de plugins de detecção em JavaScript (motor V8), interceptação de SQLi, RCE, SSRF, Deserialização, e integração com SOC/SIEM.
metadata:
  type: defensive
  phase: operations
  mitre:
    - T1190
    - T1059
  tools:
    - openrasp
    - javaagent
    - zend-extension
---

# Habilidade de IA: Guia e Engenharia com Baidu OpenRASP

Esta skill fornece orientação técnica aprofundada, comandos operacionais e padrões de implementação para o **OpenRASP** ([github.com/baidu/openrasp](https://github.com/baidu/openrasp)), a solução de código aberto líder em **Runtime Application Self-Protection (RASP)** desenvolvida pela Baidu, projetada para proteger servidores web Java e PHP diretamente no ambiente de execução.

---

## 🧭 Visão Geral e Arquitetura do OpenRASP

O OpenRASP opera injetando sondas de instrumentação diretamente nos runtimes das linguagens suportadas, inspecionando parâmetros de execução antes que métodos críticos do sistema operacional ou do banco de dados sejam invocados.

```
┌────────────────────────────────────────────────────────────────────────┐
│                      ARQUITETURA GERAL DO OPENRASP                     │
└────────────────────────────────────────────────────────────────────────┘
  [ NÓ DE APLICAÇÃO (Java / PHP) ]
  ┌────────────────────────────────────────────────────────────────────┐
  │  1. Invocação de Método Sensível (Ex: Statement.executeQuery)      │
  │     │                                                              │
  │     ▼                                                              │
  │  2. Sonda OpenRASP Hook Intercepta a Chamada                       │
  │     │                                                              │
  │     ▼                                                              │
  │  3. Motor Google V8 Embutido Executa o Plugin JavaScript           │
  │     │ (Analisa AST da query SQL, tokenização, regex e stack trace) │
  │     │                                                              │
  │     ├──► Ação: BLOCK  ──► Aborta execução + Lança Erro HTTP 403    │
  │     ├──► Ação: LOG    ──► Registra alerta e permite a chamada      │
  │     └──► Ação: IGNORE ──► Permite a operação normalmente           │
  └─────────────────────────────────┬──────────────────────────────────┘
                                    │ (Heartbeat + Logs de Alerta JSON)
                                    ▼
  [ OPENRASP CLOUD MANAGEMENT CONSOLE ] (Painel Web + API)
  ┌────────────────────────────────────────────────────────────────────┐
  │  - Backend: Go / Python                                            │
  │  - Banco de Dados: MongoDB / MySQL                                 │
  │  - Logs & Analytics: Elasticsearch + Kibana                        │
  │  - Gestão de Políticas e Atualização Automática de Plugins em JS   │
  └────────────────────────────────────────────────────────────────────┘
```

---

## 💻 Instalação e Configuração dos Agentes

### 1. Agente Java (Spring Boot, Tomcat, JBoss, WebLogic)

#### Instalação do Pacote:
Baixe a versão mais recente do OpenRASP Java Agent e descompacte no diretório `/opt/rasp`.

#### Estrutura do Diretório:
```
/opt/rasp/
├── conf/
│   └── openrasp.yml      # Configurações do agente e conexão com o Cloud
├── plugins/
│   └── official.js       # Plugin JavaScript padrão de detecção
├── logs/                 # Logs de alarmes e auditoria em JSON
└── rasp.jar              # Binário principal do Java Agent
```

#### Configuração do Arquivo `conf/openrasp.yml`:
```yaml
# Conexão com o OpenRASP Cloud Management
cloud:
  enable: true
  backend_url: "http://openrasp-cloud.empresa.local:8086"
  app_id: "a1b2c3d4e5f6g7h8i9j0"
  app_secret: "secret-token-gerado-no-painel"
  heartbeat_interval: 180

# Modos de proteção (true = Bloqueio Ativo, false = Apenas Log)
block:
  status: true

# Configurações de logging
logger:
  max_size: 500MB
  max_backup: 10
```

#### Inicialização da Aplicação com o Agente:
```bash
# Executando aplicação Spring Boot (.jar)
java -javaagent:/opt/rasp/rasp.jar -Dfile.encoding=UTF-8 -jar app.jar

# Configuração para Apache Tomcat (no arquivo catalina.sh ou setenv.sh)
export JAVA_OPTS="$JAVA_OPTS -javaagent:/opt/rasp/rasp.jar"
```

---

### 2. Agente PHP (Zend Engine Extension)

#### Instalação do Módulo:
```bash
# Compilação ou instalação via script oficial
cd /tmp && git clone https://github.com/baidu/openrasp.git
cd openrasp/agent/php && phpize
./configure --with-php-config=/usr/bin/php-config
make && sudo make install
```

#### Configuração no `php.ini`:
```ini
; Carregamento da extensão OpenRASP
extension=openrasp.so

; Diretório raiz de configurações e plugins
openrasp.root_dir=/opt/rasp

; Habilitar proteção ativa
openrasp.inject_urlprefix=/
openrasp.block_status=1
```

---

## 📜 Desenvolvimento de Plugins de Detecção em JavaScript (V8 Engine)

O grande diferencial do OpenRASP é a capacidade de estender suas políticas através de scripts em JavaScript executados em uma sandbox V8 nativa de alta velocidade dentro do processo.

### 1. Estrutura de um Plugin OpenRASP (`custom-security.js`)
```javascript
'use strict';

var plugin = new RASP('custom-security-rules');

// =========================================================================
// 1. Interceptação de Injeção de Comandos do Sistema Operacional (RCE)
// =========================================================================
plugin.register('command', function (params, context) {
    var command = params.command;
    
    // Bloquear invocações de shells reversas ou comandos destrutivos
    var dangerousPatterns = [
        /nc\s+-e/i,
        /bash\s+-i/i,
        /rm\s+-rf\s+\//i,
        /curl.*\|\s*sh/i,
        /wget.*\|\s*sh/i
    ];

    for (var i = 0; i < dangerousPatterns.length; i++) {
        if (dangerousPatterns[i].test(command)) {
            return {
                action: 'block',
                message: 'Injeção de Comando Crítica bloqueada pelo OpenRASP: ' + command,
                confidence: 100
            };
        }
    }

    return { action: 'ignore' };
});

// =========================================================================
// 2. Interceptação de SQL Injection com Análise Sintática
// =========================================================================
plugin.register('sql', function (params, context) {
    var query = params.query;
    
    // Detectar injeções booleanas ou de união clássicas
    if (/union(\s+all)?\s+select/i.test(query) || /or\s+1\s*=\s*1/i.test(query)) {
        return {
            action: 'block',
            message: 'SQL Injection detectada em tempo de execução: ' + query,
            confidence: 95
        };
    }

    return { action: 'ignore' };
});

// =========================================================================
// 3. Interceptação de SSRF (Server-Side Request Forgery)
// =========================================================================
plugin.register('ssrf', function (params, context) {
    var url = params.url;

    // Bloquear acesso aos metadados de nuvem (AWS/GCP/Azure) e interfaces de loopback
    if (/169\.254\.169\.254/i.test(url) || /127\.0\.0\.1/i.test(url) || /localhost/i.test(url)) {
        return {
            action: 'block',
            message: 'Requisição SSRF para endereço interno/metadados bloqueada: ' + url,
            confidence: 100
        };
    }

    return { action: 'ignore' };
});
```

---

## 📊 Lista de Hooks Suportados pelo OpenRASP

| Hook ID | Recurso Interceptado | Exemplos de Ameaças Mitigadas |
| :--- | :--- | :--- |
| `sql` | Drivers JDBC / MySQL / PostgreSQL / Oracle | SQL Injection (CWE-89), Stacked Queries |
| `command` | `ProcessBuilder`, `Runtime.exec()`, `system()`, `exec()` | OS Command Injection (CWE-78), Web Shells |
| `readFile` / `writeFile` | `FileInputStream`, `fopen()`, `file_get_contents()` | Path Traversal (CWE-22), Arbitrary File Overwrite |
| `fileUpload` | `MultipartResolver`, `$_FILES` | Upload de Web Shells (`.jsp`, `.php`, `.phtml`) |
| `deserialization` | `ObjectInputStream.readObject()`, `unserialize()` | Insecure Deserialization / Java Gadgets (CWE-502) |
| `ssrf` | `HttpURLConnection`, `HttpClient`, `curl_exec()` | SSRF para redes internas ou metadados de nuvem (CWE-918) |
| `xss_userinput` | Manipulação de saída HTML no buffer de resposta | Stored & Reflected XSS (CWE-79) |
| `ognl` | Evaluators OGNL (Apache Struts) | Struts RCE (CVE-2017-5638, CVE-2018-11776) |

---

## 📈 Formato dos Logs de Alerta e Integração SIEM

Quando um ataque é interceptado, o OpenRASP grava no arquivo `/opt/rasp/logs/alarm/alarm.log` uma entrada JSON completa contendo todo o contexto:

```json
{
  "event_type": "attack",
  "app_id": "a1b2c3d4e5f6g7h8i9j0",
  "server_hostname": "app-prod-01",
  "server_ip": "10.0.1.50",
  "attack_type": "sql",
  "plugin_name": "custom-security-rules",
  "action": "block",
  "confidence": 95,
  "client_ip": "198.51.100.42",
  "request_method": "POST",
  "request_url": "https://app.empresa.com/api/v1/search",
  "attack_params": {
    "query": "SELECT * FROM users WHERE id = 1 UNION SELECT null, username, password FROM admin"
  },
  "stack_trace": [
    "com.mysql.cj.jdbc.StatementImpl.executeQuery(StatementImpl.java:115)",
    "com.empresa.app.dao.UserDAO.findUser(UserDAO.java:45)",
    "com.empresa.app.controller.UserController.search(UserController.java:28)"
  ],
  "timestamp": "2026-08-29T17:30:00.123Z"
}
```

---

## 🔗 Integração com Outras Skills do Repositório

- **[rasp-runtime-protection](../../security/appsec/rasp-runtime-protection/SKILL.md)**: Teoria e diretrizes de governança arquitetural de proteção em tempo de execução.
- **[sast-code-review](../../security/appsec/sast-code-review/SKILL.md)**: Validação estática prévia dos mesmos sinks protegidos pelo OpenRASP.
- **[secops-incident-responder](../../security/ops-architecture/secops-incident-responder/SKILL.md)**: Ingestão de alertas do OpenRASP e criação de playbooks de resposta a incidentes.