Las reglas detectan patrones conocidos. La auditoría de seguridad busca lo que las reglas pasan por alto: un modelo de AI analiza el código más importante de un proyecto y el código que cambió desde la última auditoría para encontrar vulnerabilidades. Solo lo que confirma una verificación independiente se considera un hallazgo.
Activarlo
Seguridad → Configuración → Auditoría de seguridad tiene un interruptor y define con qué frecuencia se ejecuta: diariamente, semanalmente (el valor predeterminado) o mensualmente. Hasta que lo actives, seguirá tu plan: activado en planes de pago y desactivado en la versión gratuita. Puedes activarlo para una organización gratuita o desactivarlo para una organización de pago, ya sea como configuración predeterminada de la organización o para un proyecto específico.
La auditoría analiza la rama predeterminada de cada proyecto donde está activada.
Qué hace una ejecución
- Seleccionar archivos. Coroid clasifica los archivos fuente del proyecto y analiza primero los más importantes: el código en el modelo de amenazascon rutas de alto impacto y puntos de entrada, junto con el código que cambió desde la última auditoría antes que el código que no varió. Una ejecución analiza como máximo 40 archivos.
- Buscar vulnerabilidades. Para cada archivo, el modelo busca un conjunto fijo de tipos de vulnerabilidades: inyección SQL, de comandos y otros tipos de inyección, secuencias de comandos entre sitios, falsificación de solicitudes entre sitios, falsificación de solicitudes del servidor, recorrido de rutas, redirecciones abiertas, deserialización insegura, control de acceso deficiente, autenticación defectuosa, credenciales codificadas, criptografía débil, exposición de información y agotamiento de recursos. Debe indicar las líneas correspondientes; cualquier respuesta que apunte fuera del código mostrado se descarta.
- Confirmar. Cada incidencia se registra como No confirmado todavía. Para incidencias críticas y de alto nivel, una verificación independiente vuelve a derivar la incidencia a partir del código en esa confirmación. Si lo logra, la incidencia se convierte en un hallazgo confirmado, con un hallazgo estático validado como evidencia. Consulta Evidencia.
- Buscar variantes. Los fallos suelen aparecer en familias. Para cada hallazgo confirmado, Coroid busca en el repositorio el mismo patrón y verifica cada coincidencia de la misma manera.
Los hallazgos de la auditoría muestran Auditoría de seguridad como su origen en Seguridad → Hallazgos.
Cuál es su coste
La auditoría utiliza un modelo de AI, por lo que consume tus créditos y horas de agente como cualquier otra tarea, y aparece en Mission Control mientras se ejecuta y en Configuración → Actividad con su coste.
Cada ejecución tiene un presupuesto. Cuando se alcanza ese límite, o cuando se agotan tus créditos o horas de agente, se detiene y conserva lo que ya confirmó; la siguiente ejecución comienza de nuevo desde el código más importante. La ejecución de un proyecto grande continúa en varios trabajos, por lo que una ejecución nunca ocupa una ranura de agente durante mucho tiempo.
Corregir lo que encuentra
Los propietarios y administradores seleccionan Corregir en una incidencia confirmada para crear una tarea de corrección. Consulta Solicitudes de extracción de correcciones. La auditoría aún no abre tareas de corrección por sí sola.
Un hallazgo de auditoría corresponde a tu propio código, por lo que no es público. En un repositorio público, o en uno cuya visibilidad Coroid no puede confirmar, su corrección se mantiene de forma privada hasta que un propietario o administrador la publique. Consulta Divulgación.
Pruebas
Programado. Coroid demostrará una incidencia candidata ejecutándola contra una copia desechable de tu aplicación en un entorno aislado, sin acceso a la red, sin credenciales y sin datos de clientes, y convertirá la prueba en una prueba de regresión. Hasta entonces, la evidencia de la auditoría será la verificación independiente descrita anteriormente.
El informe de la auditoría de seguridad
Nuevo trabajo ya no ofrece un informe escrito de la auditoría de seguridad. En su lugar, enlaza con los hallazgos de la auditoría en Seguridad.