تكتشف القواعد الأنماط المعروفة. أما تدقيق الأمان فيبحث عما تفوّتته القواعد: حيث يقرأ نموذج AI أهم أكواد المشروع والأكواد التي تغيّرت منذ آخر تدقيق، بحثًا عن ثغرات أمنية. ولا تُعتبر النتائج صحيحة إلا إذا أكدها فحص مستقل.
تفعيله
الأمان ← إعدادات ← تدقيق الأمان يحتوي على مفتاح تفعيل وتحديد وتيرة التشغيل: يوميًا أو أسبوعيًا (الافتراضي) أو شهريًا. وإلى حين تفعيله، فإنه يتبع خطتك: يكون مفعّلًا في الخطط المدفوعة ومعطّلًا في الخطة المجانية. يمكنك تفعيله لمنظمة مجانية أو إيقافه لمنظمة مدفوعة، سواء كإعداد افتراضي للمنظمة أو لمشروع معين.
يقرأ التدقيق الفرع الافتراضي لكل مشروع يتم تفعيله فيه.
ما الذي يفعله كل تشغيل؟
- اختر الملفات. يصنّف Coroid ملفات مصدر المشروع ويقرأ أهمها أولًا: الأكواد الموجودة في نموذج التهديدلمسارات التأثير العالي ونقاط الدخول، بالإضافة إلى الأكواد التي تغيّرت منذ آخر تدقيق قبل الأكواد التي لم تتغيّر. لا يقرأ التشغيل أكثر من 40 ملفًا.
- ابحث عن ثغرات أمنية. لكل ملف، يبحث النموذج عن مجموعة محددة من أنواع الثغرات: حقن SQL والاوامر وغيرها، وعمليات تنفيذ البرامج النصية عبر المواقع، وتزوير طلبات المواقع، وتزوير طلبات الخادم، وتجاوز المسارات، وإعادة التوجيه غير الآمن، وإلغاء التسلسل غير الآمن، وانتهاكات التحكم في الوصول، وانتهاكات المصادقة، وبيانات الاعتماد المشفرة، والتشفير الضعيف، وكشف المعلومات، واستنزاف الموارد. ويجب أن يحدد رقم السطر؛ أما الإجابة التي تشير إلى خارج الكود المعروض فتُهمل.
- تأكيد. يتم تسجيل كل مشكلة على أنها لم يتم تأكيدها بعد. بالنسبة للمشاكل الحرجة والعالية الخطورة، يقوم فحص مستقل بإعادة استنتاج المشكلة من الكود في ذلك الالتزام. وإذا نجح ذلك، تصبح المشكلة نتيجة مؤكدة، مع وجود دليل ثابت عليها. انظر إلى الأدلة.
- ابحث عن أنماط مشابهة. تأتي العيوب في مجموعات. لكل نتيجة مؤكدة، يبحث Coroid في المستودع عن نفس النمط ويختبر كل مطابقة بنفس الطريقة.
تظهر نتائج التدقيق في تدقيق الأمان كمصدر لها في قسم الأمان ← نتائج.
تكلفته
يستخدم التدقيق نموذج AI، لذا يستهلك ائتماناتك وساعات العمل الخاصة بالوكلاء مثل أي عمل آخر، ويظهر في Mission Control أثناء تشغيله وفي إعدادات ← نشاط مع تكلفته.
لكل تشغيل ميزانية محددة. عندما يصل التشغيل إليها، أو عند نفاد ائتماناتك أو ساعات العمل الخاصة بالوكلاء، يتوقف ويحتفظ بما تم تأكيده بالفعل؛ ويبدأ التشغيل التالي من جديد من أهم الأكواد. يستمر تشغيل مشروع كبير عبر عدة مهام، لذا لا يحتل التشغيل مساحة الوكيل لفترة طويلة.
إصلاح ما يجده
يختار المالكون والمشرفون إصلاح على نتيجة مؤكدة لإنشاء مهمة إصلاح. انظر إلى طلبات سحب الإصلاح. لا يفتح التدقيق مهام الإصلاح تلقائيًا حتى الآن.
نتيجة التدقيق تخص كودك الخاص، لذا فهي غير عامة. في المستودع العام، أو في مستودع لا يمكن لـ Coroid التأكد من مستوى إمكانية رؤيته، يتم الاحتفاظ بإصلاحه بشكل خاص حتى ينشره المالك أو المشرف. انظر إلى الإفصاح.
البراهين
مخطط له. سيثبت Coroid وجود مشكلة محتملة عبر تشغيلها ضد نسخة مؤقتة من تطبيقك في بيئة معزولة، دون وصول إلى الشبكة أو بيانات اعتماد أو بيانات عملاء، ثم يحوّل البرهان إلى اختبار انحدار. وحتى ذلك الحين، تظل أدلة التدقيق هي الفحص المستقل المذكور أعلاه.
تقرير تدقيق الأمان
لم يعد خيار "عمل جديد" يوفر تقريرًا مكتوبًا لتدقيق الأمان. بل يوجه إلى نتائج التدقيق في قسم الأمان بدلاً من ذلك.