يحدد نموذج التهديد الأماكن التي يمكن أن يتعرض فيها المشروع لهجوم والأولويات في حال حدوث ذلك. يحتفظ الأمان بنموذج لكل مشروع تحت قسم أمان ← نماذج التهديد، حيث يتم صياغته من الكود وتحريره بواسطة فريقك.
المسودة
يصيغ Coroid النسخة الأولى عن طريق قراءة الفرع الافتراضي، دون الحاجة إلى نموذج AI، لذا لا تكلف المسودة أي تكلفة. تعمل هذه العملية في إحدى فتحات الوكلاء الخاصة بك مثل عمليات الفحص الأخرى. تقرأ المسودة لغات JavaScript وTypeScript وPython، وتكتشف ما يلي:
- نقاط الدخول: مسارات ومعالجات HTTP، وعمليات OpenAPI، ومستهلكي الطوابير، وأوامر سطر الأوامر؛
- أماكن تغير الثقة: برامج الوسيط للمصادقة وغيرها من الحواجز؛
- البيانات الحساسة: أماكن قراءة الإعدادات والأسرار (أسماء فقط، وليس قيمًا)؛
- عمليات الكتابة التي لا تحميها عملية تحقق من الهوية.
يتكون النموذج من خمسة أقسام: نقاط الدخول، وأماكن تغير الثقة، والبيانات الحساسة، والأولويات، وملاحظاتك. كما تسرد المسودة ما لم تتمكن من قراءته وسبب ذلك: ملف كبير الحجم أو غير قابل للقراءة، أو لغة لم تُدعم بعد، أو حد معين تم الوصول إليه.
تُحفظ تعديلاتك
يسجل كل مدخل اسم الشخص الذي كتبه. لا يقوم Coroid بكتابة فوق ما كتبه الإنسان أبدًا.
كل أسبوع، وعندما يختار مالك أو مسؤول إعادة قراءة الكود، تقوم Coroid بقراءة الكود مرة أخرى. لا تغيّر النموذج، بل تقترح تغييرات: إضافات أو تحديثات أو حذف مدخلات. يقبل المالكون والمسؤولون هذه التغييرات في نسخة جديدة أو يرفضونها؛ ولا تُقترح التغييرات المرفوضة مرة أخرى.
عند قبول تغيير ما، يتجاهل Coroid كل ما لم يعد مناسبًا: مدخل غيرّه شخص آخر، أو مدخل موجود بالفعل، أو مدخل تم حذفه. تُذكر في النموذج العناصر التي تم تجاهلها. يقترح Coroid حذف ما كتبته المسودة الخاصة به فقط، وذلك بعد قراءة شاملة لكل الكود. تبقى صياغتك كما هي؛ يتغير فقط ما وجده Coroid في الكود.
النسخ
النسخة 1 هي المسودة. كل اقتراح أو تعديل مقبول يُنشئ نسخة جديدة، ويسجل التاريخ من قام بما: صياغة من الكود، تعديل من قبل شخص، تحديث من Coroid بإذن شخص، أو استيراد من إعدادات.
من يمكنه تغييره
كل من يمكنه رؤية المشروع يستطيع قراءة نموذج التهديد الخاص به. يحرره المالكون والمسؤولون، ويقبلون أو يرفضون الاقتراحات، ويطلبون من Coroid إعادة قراءة الكود.
كيفية استخدامه
يقرأ تدقيق الأمان نموذج التهديد لتحديد الملفات التي يجب قراءتها أولاً: الكود الموجود في مسارات التأثير العالي ونقاط الدخول يأتي قبل باقي الملفات.
قابلية نقل الإعدادات
تنتقل أحدث نسخة من نموذج التهديد لكل مشروع ضمن حزمة إعدادات المؤسسة. أما تاريخها والاقتراحات المفتوحة فتبقى في مكانها. انظر قابلية نقل الإعدادات.