מערכת האבטחה עוקבת אחר מאגרי הנתונים שלך כדי לאתר תלויות פגיעות ידועות, נתוני אישורים שנחשפו וקוד פגיע, שומרת את כל הממצאים ברשימה אחת, והופכת את מה שהיא מאשרת לקבצי Pull Request שצוותך יסקור ויאשר.
פרק זה מתאר את תכונת המוצר: אבטחת הקוד שלך. לגבי האופן שבו Coroid עצמו מגן על הקוד והנתונים שלך, ראה אבטחה ופריסה.
מה שהיא עושה
| הגנה | מה שהיא עושה | יכולה לגרום לכישלון בבדיקה |
|---|---|---|
| תלויות פגיעות | המערכת קוראת את קבצי ה-lockfile של כל פרויקט בראש הענף הראשי ומשווה כל חבילה מול התרעות שפורסמו. היא סורקת גם את שינויי קובץ ה-lockfile של pull request באותו אופן. | כן |
| תיקון תלויות פגיעות | המערכת פותחת קובץ Pull Request ב-pull request שמעדכן את החבילה הפגיעה, כאשר הממצאים הקריטיים מטופלים ראשונים. | לא |
| נתוני אישורים שנחשפו | המערכת מחפשת נתוני אישורים בכל שינוי, וגם לאורך כל ההיסטוריה של הענף הראשי. | כן |
| סריקת קוד | כללי האבטחה של Coroid לקוד, בתוספת פקודת הסריקה שלך אם קיימת. | כן |
| סקירת אבטחה בקבצי Pull Request | המערכת בודקת את בעיות האבטחה שמעלה סקירת Coroid, באופן עצמאי, לפני שאחת מהן יכולה לגרום לכישלון בבדיקה של pull request. | כן |
| התרעות אבטחה של GitHub | המערכת מייבאת התרעות של Dependabot, סריקת קוד וסריקת נתוני אישורים כך שהן יופיעו לצד הממצאים של Coroid עצמו. | לא |
| ביקורת אבטחה | המערכת קוראת את הקוד החשוב ביותר שלך ואת הקוד ששונה מאז הביקורת האחרונה, כדי לאתר פגיעויות. היא שומרת רק את מה שאושר על ידי בדיקה עצמאית. | לא |
כל סוג הגנה מוסבר בדף נפרד בפרק זה. ראה הגנות ואכיפה כדי ללמוד כיצד הן מופעלות, נצפות ונאכפות.
המקום שבו היא נמצאת
למערכת האבטחה יש מקום משלה בתפריט הראשי, אחרי בקרת איכות:
- סקירה כלליתסקירה של הממצאים לפי חומרתם ומספרם שחלף מועד הפתרון שלהם, כיסוי של כל פרויקט והסריקה האחרונה, קצב תיקון, מצב נתוני ההתרעות ושל התרעות GitHub.
- ממצאיםרשימה אחת של כל מה שמצאה מערכת האבטחה, ממוינת לפי פרויקט. ראה ממצאים ומחזור החיים שלהם.
- תלויותרשימת החבילות של כל פרויקט, עם אפשרות לייצוא בפורמט CycloneDX. ראה תלויות פגיעות.
- מודלי איומיםאחד לכל פרויקט. ראה מודלי איומים.
- הגדרותהגדרות ברירת המחדל של הארגון ושל כל פרויקט, עם אפשרות להפעלה/כיבוי של כל סוג הגנה.
כל חבר צוות רואה את הסקירה הכללית, הממצאים, התלויות ומודלי האיומים של הפרויקטים שהוא רשאי לראות. בעלי תפקיד ואדמיניסטרטורים של הארגון משנים הגדרות, מודלי איומים וחריגות, ופועלים בנוגע לממצאים. משימות תיקון הן חלק רגיל מהעבודה: הן מופיעות במפעל, והממצא מקושר למשימה ול-pull request.
כיצד היא מחליטה
הראיות הן אלו שקובעות. ממצא חוסם pull request או שולח התרעה רק כאשר קיימות ראיות מסוג מוגדר, שאומתו בקומיט מסוים. כל דבר אחר מופיע כ״טרם אושר״ ואינו גורם לשום פעולה נוספת. ראו ראיות.
ללא תוצאות ירוקות שקטות. תוצאה נקייה נחשבת רק לאחר סריקה מלאה. סריקה חלקית, הרשאה חסרה, מלאי ישן או נתוני התרעות מאוחרים יוצגו ככיסוי לא ידוע או חלקי, ולא כתיקון.
בני אדם שומרים על השליטה. Coroid פותחת קבצי Pull Request; בני אדם מאשרים אותם. חריגות, תצורת הסורק והגילוי נקבעים במערכת האבטחה על ידי בעלי תפקיד ואדמיניסטרטורים, ולא על ידי שינוי בתהליך בדיקה.
פרטיות כברירת מחדל. פרטים על פגיעות שעדיין אינן ציבוריות נשמרים בתוך Coroid עד שאדם בעל סמכות יחשוף אותם. ראה גילוי.
Coroid אינה משתמשת לעולם בנתוני אישורים שהיא מוצאת. המערכת אינה מנסה להשתמש בנתוני אישורים שנחשפו כדי לבדוק אם הם פועלים.
כמה זה עולה
מערכת האבטחה זמינה בכל תוכניות המנוי, כולל התוכנית החינמית.
- הגילוי אינו כרוך בעלויות. סריקות מלאי, התאמת ייעוץ, סריקות קוד וסודות, וייבוא התראות אינן משתמשות במודל של AI, ולכן אינן מבזבזות זיכויים או שעות סוכנים. סריקות הארגון עצמו תופסות אחד ממקומות הסוכן שלו בזמן הפעלתן. כאשר אין מקום פנוי, הן ממתינות, ומוצגות כממתינות ב־Mission Control; הכיסוי נחשב ללא ידוע עד שהן יתבצעו. עצירת עבודת הסוכן ב־Mission Control אינה עוצרת את סריקות האבטחה.
- **עבודה המשתמשת במודל נגבית כמו כל עבודה אחרת.**משימות תיקון, ביקורת אבטחה, והבדיקה העצמאית של טענות האבטחה של סקירת Coroid. היא מבזבזת את הזיכויים ואת שעות הסוכן שלך, מופיעה בהגדרות → פעילות, וממתינה כאשר הזיכויים או השעות אוזלים. זיהוי ממשיך לפעול.
מה שעדיין אינו מכוסה.
תמונות מכולות, תשתיות כקוד, סריקת זמן ריצה ורישיונות אינם מכוסים. תצורת זרם עבודה של CI מכוסה רק על ידי כללי הקוד הקיימים של Coroid. תצוגת סקירה מציינת זאת, ולכן דבר שאינו מכוסה לא יוצג כמכוסה.