Un modelo de amenazas indica dónde puede ser atacado un proyecto y qué aspectos son más críticos en caso de ataque. Seguridad guarda uno por proyecto en Seguridad → Modelos de amenazas, redactado a partir del código y editado por su equipo.
El borrador
Coroid redacta la primera versión leyendo la rama predeterminada, sin necesidad de un modelo AI, por lo que el borrador no tiene coste alguno. Se ejecuta en una de sus ranuras de agente, como otras exploraciones. Lee JavaScript, TypeScript y Python, y detecta:
- Puntos de entrada: rutas y controladores HTTP, operaciones de OpenAPI, consumidores de colas y comandos de línea de órdenes;
- Dónde cambia la confianza: middleware de autenticación y otros límites;
- Datos sensibles: donde se leen la configuración y los secretos (solo los nombres, nunca los valores);
- Escrituras que no están protegidas por una comprobación de autenticación.
El modelo tiene cinco secciones: Puntos de entrada, Dónde cambia la confianza, Datos sensibles, Qué es más importante y Sus notas. El borrador también lista lo que no pudo leer y el motivo: un archivo demasiado grande o ilegible, un lenguaje que aún no procesa o un límite alcanzado.
Sus ediciones se conservan
Cada entrada registra quién la escribió. Coroid nunca sobrescribe lo que una persona ha escrito.
Cada semana, y siempre que el propietario o administrador elija Leer el código de nuevo, Coroid vuelve a leer el código. No modifica el modelo. En su lugar, propone cambios: entradas para añadir, actualizar o eliminar. Los propietarios y administradores los aceptan en una nueva versión o los rechazan; un cambio rechazado no se vuelve a proponer.
Cuando se acepta un cambio, Coroid omite todo lo que ya no es aplicable: una entrada que una persona haya modificado desde entonces, una que ya exista o una que ya no esté presente. Indica qué ha omitido. Coroid solo propone eliminar lo que su propio borrador haya escrito, y únicamente después de una lectura que abarque todo el código. Su redacción se mantiene; solo cambia lo que Coroid haya detectado en el código.
Versiones
La versión 1 es el borrador. Cada propuesta o edición aceptada crea una nueva versión, y el historial indica quién realizó cada acción: redactado a partir del código, editado por una persona, actualización de Coroid añadida por una persona o importado desde Configuración.
Quién puede modificarlo
Todos los que pueden ver un proyecto pueden leer su modelo de amenazas. Los propietarios y administradores lo editan, aceptan o rechazan propuestas y solicitan a Coroid que lea el código de nuevo.
Cómo se utiliza
La auditoría de seguridad lee el modelo de amenazas para decidir qué archivos leer primero: el código de las rutas y puntos de entrada de alto impacto del modelo se procesa antes que el resto. lee el modelo de amenazas para decidir qué archivos leer primero: el código de las rutas de alto impacto y los puntos de entrada del modelo se procesa antes que el resto.
El modelo de amenazas más reciente de cada proyecto viaja en el paquete de configuración de la organización. Su historial y las propuestas pendientes permanecen donde están. Consulte
Portabilidad de Configuración Portabilidad de la Configuración.