Les règles identifient les motifs connus. L'audit de sécurité cherche ce que les règles manquent : un modèle AI analyse le code le plus critique d'un projet ainsi que le code modifié depuis la dernière audit, afin de détecter les vulnérabilités. Seules les constatations confirmées par une vérification indépendante sont prises en compte.
Activer l'audit
Sécurité → Paramètres → Audit de sécurité dispose d'un interrupteur et de paramètres de fréquence d'exécution : quotidiennement, hebdomadairement (par défaut) ou mensuellement. Tant qu'il n'est pas activé, il suit votre plan : activé pour les abonnements payants, désactivé pour l'offre gratuite. Vous pouvez l'activer pour une organisation gratuite ou le désactiver pour une organisation payante, au niveau par défaut de l'organisation ou pour un projet spécifique.
L'audit analyse la branche par défaut de chaque projet où il est activé.
Ce qu'effectue une exécution
- Sélectionner les fichiers. Coroid classe les fichiers sources du projet et analyse en premier les plus importants : le code situé sur le modèle de menaceavec les chemins à fort impact et les points d'entrée, ainsi que le code modifié depuis la dernière audit avant le code non modifié. Une exécution analyse au maximum 40 fichiers.
- Rechercher les vulnérabilités. Pour chaque fichier, le modèle recherche un ensemble fixe de types de vulnérabilités : injection SQL, injection de commandes et autres, script intersite, falsification de requête intersite, falsification de requête côté serveur, traversée de chemin, redirections non sécurisées, désérialisation non sécurisée, contrôle d'accès défaillant, authentification défaillante, identifiants codés en dur, cryptographie faible, exposition d'informations et épuisement des ressources. Il doit indiquer les lignes concernées ; toute réponse pointant en dehors du code analysé est rejetée.
- Confirmer. Chaque problème est enregistré comme Non confirmé pour l'instant. Pour les problèmes critiques et de haut niveau, une vérification indépendante reconstitue le problème à partir du code de cette validation. Si c'est le cas, le problème devient une constatation confirmée, avec une constatation statique validée comme preuve. Voir Preuves.
- Rechercher des variantes. Les défauts apparaissent souvent en groupes. Pour chaque constatation confirmée, Coroid parcourt le dépôt pour y trouver le même motif et l'examine de la même manière.
Les constatations issues de l'audit indiquent Audit de sécurité comme source dans Sécurité → Constatations.
Son coût
L'audit utilise un modèle AI, ce qui entraîne la consommation de vos crédits et des heures d'agent comme pour tout autre travail. Il apparaît dans Mission Control pendant son exécution et dans Paramètres → Activité avec le détail de son coût.
Chaque exécution dispose d'un budget. Lorsque ce budget est atteint, ou lorsque vos crédits ou heures d'agent sont épuisés, l'exécution s'arrête et conserve les éléments déjà confirmés ; la prochaine exécution reprend alors à partir du code le plus critique. Pour un projet de grande taille, l'exécution se poursuit sur plusieurs tâches, de sorte qu'une seule exécution n'occupe jamais une place d'agent pendant une longue période.
Corriger les éléments détectés
Les propriétaires et administrateurs choisissent Corriger sur une constatation confirmée pour créer une tâche de correction. Voir Demander des demandes de fusion de correction. L'audit ne déclenche pas encore automatiquement le travail de correction.
Une constatation d'audit concerne votre propre code, elle n'est donc pas publique. Sur un dépôt public, ou un dépôt dont la visibilité ne peut pas être confirmée par Coroid, sa correction est conservée en privé jusqu'à ce qu'un propriétaire ou un administrateur la publie. Voir Divulgation.
Preuves
Planifié. Coroid validera l'existence d'un problème potentiel en l'exécutant sur une copie temporaire de votre application dans un environnement isolé, sans accès réseau, sans identifiants ni données clients, puis transformera cette preuve en un test de régression. Jusqu'à ce moment, les éléments probants de l'audit sont ceux de la vérification indépendante décrite ci-dessus.
Le rapport d'audit de sécurité
Nouveau travail ne propose plus de rapport d'audit de sécurité écrit. Il renvoie vers les constatations de l'audit dans la section Sécurité.