Chaque composant de la sécurité appartient à l'un de ces trois rôles. L'Aperçu, l'onglet Activité, l'Usine et Paramètres → Activité affichent toutes les actions menées par ces rôles.
- Équipe rouge : attaque des copies isolées de votre code. Elle cherche des vecteurs d'attaque, tels qu'un attaquant les utiliserait, afin de les prouver.
- Vérification indépendante : détermine ce qui compte comme vulnérabilité. Une affirmation ne devient une constatation que lorsqu'un second agent la reconstitue ou que sa preuve est reproduite deux fois.
- Équipe bleue : protège le code lui-même. Elle surveille les problèmes connus, sécurise chaque modification, corrige ce qui peut l'être et vérifie que les corrections tiennent.
L'équipe rouge
| Station | Ce qu'elle fait |
|---|---|
| Carte | Analyse le code pour identifier tous les points d'entrée : routes HTTP, webhooks, consommateurs de file d'attente et commandes en ligne de commande. Elle rédige le modèle de menace et remplit l'onglet Surface d'attaque La cartographie n'utilise aucun modèle AI et est toujours activée. |
| Recherche | L' audit de sécurité analyse votre code le plus critique comme le ferait un attaquant, en commençant par les points d'entrée accessibles depuis Internet. Elle utilise un modèle, ce qui consomme des crédits, et reste désactivée jusqu'à ce que vous l'activiez. |
| Preuve | Teste chaque affirmation sur une copie isolée de votre code, au moyen d'un test qui échoue tant que la vulnérabilité existe. |
La vérification indépendante
| Station | Ce qu'elle fait |
|---|---|
| Reconstituer | Un second agent reconstitue chaque affirmation à partir du code. Les problèmes de sécurité signalés par la Révision CoRoid sur les demandes de fusion passent également par ce processus. |
| Relancer | Une preuve n'est prise en compte que si elle est reproduite deux fois, dans deux environnements distincts. |
Tant qu'une affirmation n'est pas validée, elle est listée comme « Pas encore confirmée » : elle n'a pas de date d'échéance, ne bloque rien et n'envoie aucune notification. Voir Preuve.
L'équipe bleue
| Station | Ce qu'elle fait |
|---|---|
| Surveiller | Dépendances vulnérables et secrets divulgués, le code, code et les alertes propres à GitHub, sur la branche par défaut. |
| Protéger | Analyse chaque pull request et chaque modification des agents avant la fusion, y compris les nouveaux points d’entrée sans contrôle de connexion (voir ). De même, les agents du réseau de bac à sabletravaillent en arrière-plan. Corriger agents utilisent. |
| demandes de fusion de correction | pour les dépendances vulnérables et les constatations confirmées sur le code. Vérifier Rescanne les révisions déployées et corrigées afin qu'une constatation ne soit clôturée que lorsque la correction est effective. |
| La boucle | Une preuve reproduite est conservée comme contrôle de régression. Elle est à nouveau exécutée sur de nouveaux candidats, et un propriétaire ou administrateur peut relancer les preuves conservées d'un projet sur la version principale ( |
Relancer les preuves
). Si la faille réapparaît, la constatation se rouvre également.L'onglet ActivitéSécurité → Activité montre comment les équipes ont collaboré cette semaine :
La carte
Sécurité → Opérations montre comment les équipes ont collaboré cette semaine :
- Le journal d'exécution: chaque exécution, la plus récente en premier, avec son projet, son équipe, sa durée et son résultat. Les exécutions routinières sont distinguées des exécutions lancées manuellement. Filtrez-le par équipe ou par jour.
- La boucle: le nombre de preuves conservées comme contrôles de régression et la date de leur dernière exécution.
- L'Aperçu: le nombre de preuves conservées comme tests de régression et la date de leur dernière exécution.
indique ce que chaque équipe fait à l'instant présent. La colonne de chaque projet précise si une équipe analyse le projet ou attend, et pourquoi. Scanner maintenant indique l’activité actuelle de chaque équipe. La ligne de chaque projet précise si une équipe l’analyse ou attend, et pourquoi.
Analyser maintenant
Les propriétaires et les administrateurs peuvent lancer une analyse à la demande depuis la ligne de chaque projet dans l’Aperçu, ou Scanner tous les projets maintenant pour chaque projet :
- Scanne complète (équipe bleue) : dépendances, secrets fuites et code situé à la tête de la branche par défaut ;
- Dépendances uniquement (équipe bleue), ce qui met également à jour les données d'avis auxquelles elle se compare ;
- Secrets fuites dans l'historique (équipe bleue) : parcourt à nouveau tout l'historique ;
- Cartographier la surface d'attaque (équipe rouge) ;
- Audit de sécurité (équipe rouge), lorsque celui-ci est activé : le menu indique ce qu'il peut consommer avant de démarrer ;
- Relancer les preuves (équipe rouge), lorsque le projet conserve des preuves : chaque exécution est affichée comme une nouvelle exécution du contrôle indépendant.
Un scan lancé par quelqu'un fonctionne comme n'importe quel autre : il occupe l'une de vos places d'agent, et reste en attente, affiché comme tel, lorsqu'aucune place n'est disponible ou que les heures d'agent de votre abonnement sont épuisées.
Coût associé
Les tâches sans modèle AI (surveillance, protection, vérification, cartographie et preuves) ne consomment aucun crédit. Le temps d'exécution de ces tâches compte comme des heures d'agent, comme n'importe quel autre travail, et elles restent en attente lorsque les heures de votre abonnement sont épuisées. L'audit, la deuxième exécution de l'agent pour le contrôle indépendant et les tâches de correction consomment également des crédits. Voir Coût associé.