Add explainable multicloud vulnerability scoring

[analistarj]

Objetivo

Transformar o repositório em um MVP demonstrável de auditoria de vulnerabilidades multicloud, alinhado ao perfil de Auditoria de TI, Cyber GRC e Cloud.

Entregas

• normalização de exportações AWS Security Hub ASFF;
• normalização de avaliações Microsoft Defender for Cloud;
• normalização de findings do Google Security Command Center;
• esquema nativo normalizado;
• score de risco por achado, de 0 a 100;
• score agregado do ambiente, de 0 a 100;
• confiança da evidência separada do risco;
• fatores explicáveis e regra versionada cloud-risk-1.0.0;
• pseudonimização de identificadores;
• exemplos totalmente sintéticos;
• CLI Python instalável;
• documentação de segurança e metodologia;
• CI para Python 3.10 e 3.12.

Limites declarados

O projeto não solicita credenciais, não acessa contas cloud, não executa remediações e não afirma conformidade. O score é próprio e não substitui os scores oficiais dos provedores ou uma avaliação humana.

Validação local

• Ruff aprovado;
• 16 testes aprovados;
• cobertura de 86%, mínimo de 85%;
• sdist e wheel aprovados;
• wheel instalado e executado em ambiente virtual limpo;
• exemplos AWS, Azure e GCP processados com sucesso.

[chatgpt-codex-connector]

💡 Codex Review

Here are some automated review suggestions for this pull request.

Reviewed commit: 2fb37b8cf2

ℹ️ About Codex in GitHub

Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review".

If Codex has suggestions, it will comment; otherwise it will react with 👍.

Codex can also answer questions or update the PR. Try commenting "@codex address that feedback".

[chatgpt-codex-connector]

Match negative exploitability values before "known"

For GCP findings whose CVE reports NO_KNOWN_EXPLOITATION, or normalized findings that explicitly use unknown, this substring check matches known and classifies them as known_exploited. score_finding consequently adds 20 risk points and can materially inflate both finding and environment scores; recognize negative/unknown tokens before positive aliases or use exact enum matching.

Useful? React with 👍 / 👎.

[chatgpt-codex-connector]

Omit the raw Azure assessment title from reports

When an Azure assessment supplies metadata.displayName, this copies the provider's raw human-readable title into Finding.category, which build_report writes verbatim. Reports produced with --output therefore retain raw titles—including potentially sensitive custom assessment text—despite the documented privacy guarantee that original titles are omitted; derive a non-sensitive category or omit/pseudonymize this value.

Useful? React with 👍 / 👎.