Die Sicherheitsfunktion überwacht Ihre Repositories auf bekannte schwachstellenbehaftete Abhängigkeiten, ausgeleakte Zugangsdaten und anfälligen Code, speichert alle gefundenen Ergebnisse in einer Liste und wandelt bestätigte Fälle in Pull Requests um, die Ihr Team rezensiert und zusammenführt.
In diesem Abschnitt wird die Produktfunktion beschrieben: die Sicherheit Ihres Codes. Wie Coroid selbst Ihren Code und Ihre Daten schützt, erfahren Sie unter Sicherheit und Deployment.
Was sie leistet
| Schutz | Was sie leistet | Kann eine Prüfung zum Scheitern bringen |
|---|---|---|
| Schwachstellenbehaftete Abhängigkeiten | Die Lockdateien jedes Projekts am Anfang des Standard-Branches werden ausgelesen und jedes Paket mit veröffentlichten Warnhinweisen abgeglichen. Änderungen an den Lockdateien von pull request werden auf dieselbe Weise gescannt. | Ja |
| Schwachstellenbehaftete Abhängigkeiten beheben | Es wird ein pull request-Pull Request geöffnet, der ein schwachstellenbehaftetes Paket aktualisiert – zuerst die kritischen Ergebnisse. | Nein |
| Ausgeleakte Geheimnisse | Die Sicherheitsfunktion sucht in jeder Änderung nach Zugangsdaten und durchsucht außerdem die gesamte Historie des Standard-Branches. | Ja |
| Code-Scanning | Die Sicherheitsregeln von Coroid für Code sowie Ihr eigener Scan-Befehl, falls vorhanden. | Ja |
| Sicherheits-Rezension bei Pull Requests | Die Sicherheitsprobleme, die von Coroid Review festgestellt werden, werden vor dem Scheitern einer pull request-Prüfung unabhängig überprüft. | Ja |
| GitHub-Sicherheitswarnungen | Warnungen von Dependabot, Code-Scanning und Secret-Scanning werden importiert und neben den eigenen Ergebnissen von Coroid angezeigt. | Nein |
| Sicherheits-Audit | Der wichtigste Code sowie der seit dem letzten Audit geänderte Code werden auf Schwachstellen geprüft. Nur Ergebnisse, die eine unabhängige Überprüfung bestätigt, werden beibehalten. | Nein |
Jeder Schutzmechanismus wird auf seiner eigenen Seite in diesem Abschnitt erläutert. Unter Schutzmaßnahmen und Durchsetzung erfahren Sie, wie sie aktiviert, überwacht und durchgesetzt werden.
Wo es sich befindet
Die Sicherheitsfunktion hat ihren eigenen Platz im Hauptmenü – nach der Qualitätskontrolle:
- Übersicht: offene Ergebnisse nach Schweregrad und Anzahl der überfälligen Fälle, die Abdeckung und letzte Scan-Ergebnisse jedes Projekts, der Behebungsfortschritt sowie der Status der Warnhinweise und der GitHub-Warnungen.
- Ergebnisse: die einzige Liste aller von der Sicherheitsfunktion gefundenen Ergebnisse, gruppiert nach Projekt. Siehe Ergebnisse und ihr Lebenszyklus.
- Abhängigkeiten: das Paket-Inventar jedes Projekts mit einem Export im CycloneDX-Format. Siehe Schwachstellenbehaftete Abhängigkeiten.
- Bedrohungsmodelle: eines pro Projekt. Siehe Bedrohungsmodelle.
- Einstellungen: die Organisationsvorgaben und die jeweiligen Projekteinkonfigurationen mit einem Schalter pro Schutzmechanismus.
Jedes Mitglied sieht die Übersicht, Ergebnisse, Abhängigkeiten und Bedrohungsmodelle der Projekte, auf die es Zugriff hat. Organisationsbesitzer und Administratoren ändern Einstellungen, Bedrohungsmodelle und Ausnahmen sowie reagieren auf Ergebnisse. Behebungsaufgaben sind normale Arbeitsschritte: sie erscheinen in der Factory, und ein Ergebnis verlinkt zur entsprechenden Aufgabe und zu pull request.
Wie die Entscheidung getroffen wird
Die Beweise entscheiden. Ein Ergebnis blockiert einen pull request oder benachrichtigt Nutzer nur dann, wenn ein nachgewiesener Typ an einem bestimmten Commit bestätigt wurde. Alles andere wird als „Noch nicht bestätigt“ gekennzeichnet und hat keine weitere Wirkung. Siehe Beweise.
Kein stilles Grün. Ein sauberes Ergebnis gilt nur nach einem vollständigen Scan. Ein teilweiser Scan, fehlende Berechtigungen, ein veraltetes Inventar oder verzögerte Warnhinweise werden als unbekannt oder Teilabdeckung angezeigt – niemals als behoben.
Die Menschen bleiben am Steuer. Coroid erstellt Pull Requests; die Menschen führen sie zusammen. Ausnahmen, Scanner-Konfigurationen und Offenlegungen werden in der Sicherheitsfunktion von Besitzern und Administratoren festgelegt – niemals durch eine Änderung im Testmodus.
Standardmäßig privat. Details zu einer noch nicht öffentlichen Schwachstelle bleiben innerhalb von Coroid gespeichert, bis eine berechtigte Person sie offenlegt. Siehe Offenlegung.
Coroid verwendet niemals gefundene Zugangsdaten. Es versucht nicht, ausgeleakte Zugangsdaten zu testen, ob sie funktionieren.
Was es kostet
Die Sicherheitsfunktion ist in jedem Tarif enthalten – auch im kostenlosen.
- Die Erkennung ist kostenlos. Die Erfassung von Beständen, die Beratungsabgleichung, Geheimnis- und Code-Scans sowie die Importierung von Alerts nutzen kein AI-Modell, weshalb sie weder Credits noch Agentenstunden verbrauchen. Die eigenen Scans jeder Organisation belegen einen der verfügbaren Agenten-Slots während ihrer Ausführung. Ist kein Slot frei, warten diese Scans und werden in Mission Control als wartend angezeigt; die Abdeckung wird als unbekannt angegeben, bis die Scans ausgeführt werden. Das Anhalten der Agentenarbeit in Mission Control unterbricht die Sicherheitsscans nicht.
- **Arbeiten, die ein Modell nutzen, werden wie jede andere Arbeit abgerechnet.**Dazu gehören Fehlerbehebungstasks, die Sicherheitsprüfung sowie die unabhängige Überprüfung der Sicherheitsaussagen von der Coroid Rezension. Diese Prozesse verbrauchen Ihre Credits und Agentenstunden, werden in Einstellungen → Aktivität angezeigt und warten, wenn die Credits oder Stunden aufgebraucht sind. Die Erkennung läuft jedoch weiterhin.
Was bisher nicht abgedeckt wird:
Container-Images, Infrastructure-as-Code, Laufzeit-Scans und Lizenzen werden nicht abgedeckt. Die Konfiguration von CI-Workflows wird nur durch die bestehenden Code-Regeln von Coroid berücksichtigt. Die Übersicht gibt dies an – somit wird nichts als abgedeckt angezeigt, was es nicht ist.