הכללים מזהים תבניות ידועות. ביקורת האבטחה מחפשת את מה שהכללים מפספסים: מודל של AI קורא את הקוד החשוב ביותר של הפרויקט ואת הקוד שהשתנה מאז הביקורת הקודמת, במטרה לאתר פגיעויות. רק מה שנבדק באופן עצמאי נחשב לממצא.
הפעלתה
אבטחה → הגדרות → ביקורת אבטחה כוללת מתג ותדירות ביצוע: יומית, שבועית (הברירתית) או חודשית. עד שתפעילו אותה, היא תפעל לפי התוכנית שלכם: דלתית בתוכניות בתשלום, כבויה בתוכנית חינמית. ניתן להפעילה עבור ארגון חינמי או לכבותה עבור ארגון בתשלום, הן כברירת מחדל לארגון והן עבור פרויקט בודד.
הביקורת סורקת את הענף המוגדר כברירת מחדל בכל פרויקט שבו היא פעילה.
מה קורה במהלך ביצועה
- בחירת קבצים. Coroid מסדר את קבצי המקור של הפרויקט וקורא קודם את החשובים ביותר: קוד שנמצא ב- מודל איומים's נתיבים בעלי השפעה גבוהה ונקודות הכניסה, יחד עם קוד שהשתנה מאז הביקורת הקודמת לפני קוד שלא השתנה. ביצוע ביקורת כולל קריאת עד 40 קבצים.
- חיפוש אחר פגיעויות. עבור כל קובץ, המודל מחפש קבוצה קבועה של סוגי פגיעויות: SQL, הזרקת פקודות וסוגים אחרים, סקריפטינג צד לקוח, זיוף בקשות צד לקוח, זיוף בקשות צד שרת, גישה לנתיבים לא מורשים, הפניות פתוחות, דה-סריאליזציה לא מאובטחת, בקרת גישה לקויה, אימות לקוי, פרטי התחברות קבועים, הצפנת חלשה, חשיפת מידע ותשישות משאבים. עליו לציין את השורות המדוברות; תשובה שמצביעה על מקום מחוץ לקוד שהוצג נדחית.
- אישור. כל בעיה נרשמת כ- עדיין לא אושרה. עבור בעיות קריטיות וחמורות, בדיקה עצמאית משחזרת את הבעיה מהקוד באותו קומיט. אם כן, הבעיה הופכת לממצא מאושר, עם ממצא סטטי מאומת כראיה שלה. ראו ראיות.
- חיפוש אחר גרסאות נוספות. פגמים מגיעים במשפחות. עבור כל ממצא מאושר, Coroid מחפשת במאגר אחר אותה תבנית ובודקת כל תאמה באותו אופן.
הממצאים מהביקורת מוצגים כ- ביקורת אבטחה כמקורם ב-אבטחה → ממצאים.
מה עלותה
הביקורת משתמשת במודל AI, ולכן היא צורכת זיכויים ושעות סוכנים כמו כל עבודה אחרת, ומופיעה ב-Mission Control בזמן ביצועה ובהגדרות → פעילות יחד עם עלותה.
לכל ביצוע יש תקציב. כשהביצוע מגיע אליו, או כשהזיכויים או שעות הסוכנים שלכם אוזלים, הוא נעצר ושומר את מה שכבר אושר; הביצוע הבא מתחיל שוב מהקוד החשוב ביותר. ביצוע של פרויקט גדול נמשך על פני מספר משימות, כך שביצוע אחד אינו תופס מקום סוכן לאורך זמן.
תיקון מה שנמצא
בעלים ומנהלי מערכת בוחרים ב- תיקון על ממצא מאושר כדי לפתוח משימת תיקון. ראו בקשות משיכה לתיקון. הביקורת עדיין אינה פותחת משימות תיקון באופן אוטומטי.
ממצא ביקורת נמצא בקוד שלכם, ולכן אינו ציבורי. במאגר ציבורי, או במאגר ש-Coroid אינה יכולה לאשר את נראותו, התיקון נשמר בפרטיות עד שבעלים או מנהל מערכת יפרסמו אותו. ראו חשיפה.
הוכחות
מתוכנן. Coroid תוכיח את קיומה של בעיה פוטנציאלית על ידי הפעלתה מול עותק חד-פעמי של האפליקציה שלכם בסביבה מבודדת, ללא גישה לרשת, ללא פרטי התחברות וללא נתוני לקוחות, ותהפוך את ההוכחה לבדיקת רגרסיה. עד אז, הראיה של הביקורת היא הבדיקה העצמאית שתוארה לעיל.
דוח ביקורת האבטחה
עבודה חדשה כבר אינה מציעה דוח ביקורת אבטחה בכתב. הוא מפנה לממצאי הביקורת ב-אבטחה במקום.