تراقب أداة الأمان مستودعاتك بحثًا عن تبعيات معرضة للثغرات الأمنية، وبيانات اعتماد مُسربة، والكود الضعيف، وتحتفظ بكل ما تجده في قائمة واحدة، وتحول ما تؤكده إلى طلبات سحب يتم مراجعتها ودمجها من قبل فريقك.
يشرح هذا القسم ميزة المنتج: أمان الكود الخاص بك. لمعرفة كيف يحمي Coroid كودك وبياناتك، راجع الأمان والنشر.
ما الذي تفعله
| الحماية | ما الذي تفعله | يمكن أن تُفشل عملية الفحص |
|---|---|---|
| التبعيات المعرضة للثغرات الأمنية | تقرأ ملفات القفل الخاصة بكل مشروع عند رأس الفرع الافتراضي، وتقارن كل حزمة مع التحذيرات المنشورة. كما تفحص تغييرات ملفات القفل في pull request بنفس الطريقة. | نعم |
| إصلاح التبعيات المعرضة للثغرات الأمنية | تفتح نافذة pull request لتحديث الحزمة المعرضة للثغرات الأمنية، مع إعطاء الأولوية للنتائج الحرجة. | لا |
| بيانات الاعتماد المُسربة | تبحث أداة الأمان عن بيانات اعتماد في كل تغيير، وكذلك في سجل الفرع الافتراضي بأكمله. | نعم |
| فحص الكود | قواعد أمان Coroid الخاصة بالكود، بالإضافة إلى أمر الفحص الخاص بك إذا كان لديك واحد. | نعم |
| مراجعة الأمان على طلبات السحب | تفحص أداة الأمان مشاكل الأمان التي تكتشفها أداة مراجعة Coroid، بفحص مستقل، قبل أن تؤدي أي منها إلى فشل عملية pull request. | نعم |
| تنبيهات أمان GitHub | تستورد تنبيهات Dependabot وفحص الكود وفحص البيانات السرية حتى تظهر بجانب نتائج Coroid الخاصة. | لا |
| تدقيق الأمان | تقرأ أداة الأمان أهم أجزاء الكود، والكود الذي تغير منذ آخر تدقيق، بحثًا عن ثغرات أمنية. ولا تحتفظ إلا بما يؤكده فحص مستقل. | لا |
يتم شرح كل وسيلة حماية في صفحة منفصلة ضمن هذا القسم. راجع وسائل الحماية والتنفيذ لمعرفة كيفية تفعيلها ومراقبتها وتنفيذها.
مكان تواجدها
تحتل أداة الأمان مكانها الخاص في قائمة التنقل الرئيسية، بعد قسم ضبط الجودة:
- نظرة عامة: عرض النتائج حسب درجة الخطورة وعددها التي تجاوزت موعد استحقاقها، وتغطية كل مشروع وآخر فحص له، وتقدم إصلاحها، وحالة بيانات التحذيرات وتنبيهات GitHub.
- نتائج: القائمة الواحدة بكل ما اكتشفته أداة الأمان، مجمعة حسب المشروع. راجع النتائج ودورة حياتها.
- التبعيات: جرد الحزم الخاص بكل مشروع، مع إمكانية تصديره بصيغة CycloneDX. راجع التبعيات المعرضة للثغرات الأمنية.
- نماذج التهديد: نموذج واحد لكل مشروع. راجع نماذج التهديد.
- إعدادات: الإعدادات الافتراضية للمؤسسة ولكل مشروع، مع خيار تفعيل كل وسيلة حماية.
يطلع كل عضو على نظرة عامة ونتائج وتبعيات ونماذج تهديد للمشاريع التي يمكنه الوصول إليها. يقوم مالكو المؤسسة والمشرفون بتغيير الإعدادات ونماذج التهديد والاستثناءات، والتعامل مع النتائج. تُعتبر مهام الإصلاح جزءًا من العمل العادي: تظهر في مصنع، وتربط النتيجة بمهمتها وpull request.
كيف تتخذ القرار؟
الأدلة هي التي تحدد القرار. لا تمنع أداة الأمان عملية pull request أو ترسل إشعارات إلا بوجود أدلة لنوع محدد، تم التحقق منها في التزام معين. أما ما عدا ذلك فيُصنف كـ "غير مؤكد بعد" ولا يؤثر على أي شيء آخر. راجع الأدلة.
لا توجد نتائج خضراء صامتة. لا تُعتبر النتيجة النظيفة صالحة إلا بعد فحص كامل. أما الفحص الجزئي، أو فقدان الصلاحيات، أو القائمة القديمة، أو تأخر بيانات التحذيرات، فيظهر كتغطية غير معروفة أو جزئية، وليس كحالة مُصلحة.
يظل البشر هم من يسيطرون. تفتح أداة Coroid طلبات سحب؛ ويقوم البشر بدمجها. يتم اتخاذ قرارات الاستثناءات وإعدادات الماسح والكشف عن الثغرات داخل قسم الأمان من قبل المالكين والمشرفين، وليس عبر تغييرات قيد الاختبار.
خصوصية بياناتك بشكل افتراضي. تظل تفاصيل الثغرة الأمنية التي لم تُعلن عنها بعد داخل Coroid حتى يقرر شخص مخول بالكشف عنها. راجع الكشف عن الثغرات.
لا تستخدم أداة Coroid أبدًا بيانات اعتماد تكتشفها. لا تحاول اختبار صلاحية بيانات الاعتماد المُسربة لمعرفة ما إذا كانت تعمل.
تكلفتها
تتوفر أداة الأمان في جميع الخطط، بما في ذلك الخطة المجانية.
- لا تكلف عملية الكشف أي تكلفة. عمليات جرد البيانات، ومطابقة النصائح، وفحوصات الأسرار والكود، واستيراد التنبيهات لا تستخدم نموذج AI، لذا فهي لا تستهلك أي ائتمانات أو ساعات عمل للوكيل. تستهلك عمليات الفحص الخاصة بكل مؤسسة أحد مواقع الوكلاء أثناء تشغيلها. وعندما لا يكون هناك موقع متاح، تنتظر هذه العمليات، ويظهر حالتها كـ "في انتظار" في Mission Control، ولا يمكن تحديد نسبة التغطية حتى تكتمل. ولا يؤدي إيقاف عمل الوكلاء في Mission Control إلى إيقاف عمليات فحص الأمان.
- العمل الذي يستخدم نموذجًا ما يتم احتساب تكلفته مثل أي عمل آخر.: مهام الإصلاح، ومراجعة الأمان، والتحقق المستقل من ادعاءات الأمان في مراجعة Coroid. تستهلك هذه العمليات ائتماناتك وساعات عمل الوكلاء، وتظهر في قسم إعدادات → نشاط، وتنتظر عند نفاد الائتمانات أو الساعات. ويستمر اكتشاف الثغرات في العمل بشكل مستمر.
ما لم يتم تغطيته بعد.
صور الحاويات، والبنية التحتية ككود، وفحوصات وقت التشغيل، والتراخيص غير مشمولة ضمن التغطية. أما إعدادات سير العمل في نظام التكامل المستمر فهي مشمولة فقط بقواعد الكود الحالية الخاصة بـ Coroid. ويوضح ذلك قسم نظرة عامة، لذا لا يُعتبر أي عنصر مشمولًا بالتغطية إلا إذا تم ذكره صراحةً.