כל חלק של צוות האבטחה שייך לאחת משלושת התפקידים. המבט הכולל, כרטיסיית פעילות, כרטיסיית מפעל והגדרות → פעילות – כולם מציגים את העבודה של תפקידים אלו.
- צוות אדום: תוקף עותקים מבודדים של הקוד שלך. הוא מחפש דרכים לחדור, באופן שבו תוקף יפעל, ומנסה להוכיח זאת.
- בדיקה עצמאית: קובעת מה נחשב תקין. טענה הופכת לממצא רק כאשר סוכן שני מגיע לאותה מסקנה שוב, או כאשר ההוכחה שלה מתקבלת פעמיים.
- צוות כחול: מגן על הקוד עצמו. הוא עוקב אחר בעיות ידועות, שומר על כל שינוי, מתקן מה שאפשר ובודק שהתיקונים עומדים בתוקף.
צוות אדום
| תחנה | מה שהיא עושה |
|---|---|
| מפה | קורא את הקוד כדי לאתר כל דרך לחדור אליו: נתיבי HTTP, webhookים, צרכני תורים ופקודות שורת פקודה. הוא מכין את ה מודל איום וממלא את ה שטח התקיפה כרטיסייה. המיפוי אינו משתמש במודל AI ופועל תמיד. |
| חיפוש | ה ביקורת אבטחה קוראת את הקוד החשוב ביותר שלך כמו תוקף, החל מנקודות הכניסה שאליהן ניתן לגשת דרך האינטרנט. היא משתמשת במודל, ולכן צורכת זיכויים; היא כבויה עד שתפעיל אותה. |
| הוכחה | היא בוחנת כל טענה בעותק מבודד של הקוד שלך, באמצעות בדיקה שנכשלת כשהפגיעות קיימת. |
הבדיקה העצמאית
| תחנה | מה שהיא עושה |
|---|---|
| גזירה מחדש | סוכן שני מגיע לאותה מסקנה שוב מכל טענה מתוך הקוד. בעיות האבטחה ש־CoRoid Review מעלה בבקשות משיכה עוברות גם דרכה. |
| הפעלה מחדש | הוכחה נחשבת תקינה רק כאשר היא מתקבלת פעמיים, בשתי סביבות חדשות. |
עד שטענה תעבור את הבדיקה, היא תופיע כ"עדיין לא מאושרת": אין לה תאריך יעד, היא אינה חוסמת דבר ואינה שולחת התראות. ראה ראיות.
צוות כחול
| תחנה | מה שהיא עושה |
|---|---|
| מעקב | תלויות פגיעות תלויות, סודות שנחשפו, קוד וגם התראות של GitHub עצמו, בענף ברירת המחדל. |
| הגנה | מסרקת כל pull request וכל שינוי של סוכן לפני המיזוג, כולל נקודות כניסה חדשות ללא בדיקת כניסה (ראה שטח התקיפה). כמו כן, סוכני ה רשת סביבה מבודדת פועלים ברקע. |
| תיקון | פותחת בקשות משיכה לתיקון עבור תלויות פגיעות וממצאי קוד שאושרו. |
| אימות | מסרקת מחדש גרסאות שפוזרו ותוקנו, כך שממצא ייסגר רק כשהתיקון אכן קיים. |
המעגל
הוכחה שהתקבלה פעמיים נשמרת כבדיקת רגרסיה. היא מופעלת שוב נגד מועמדים חדשים, ובעלים או מנהל יכולים להפעיל שוב את ההוכחות שנשמרו של פרויקט כנגד ראש הענף ברירת המחדל (הפעל את ההוכחות שוב). אם הפרצה נפתחת מחדש, גם הממצא נפתח מחדש.
כרטיסיית פעילות
אבטחה → פעילות מציגה כיצד הצוותים עבדו יחד השבוע:
- המפה: תחנות של כל צוות עם הריצות שלהן השבוע, והבדיקה העצמאית בין צוות אדום לצוות כחול. בחר תחנה כדי לראות את הריצות שלה.
- יומן הריצה: כל ריצה, מהחדשה ביותר ועד הישנה, עם הפרויקט, הצוות, משך הזמן והתוצאה. ניתן להבחין בין ריצות שגרתיות לריצות שהופעלו על ידי משתמש. ניתן לסנן לפי צוות או יום.
- המעגל: כמה הוכחות נשמרו כבדיקות רגרסיה, ומתי הן הופעלו שוב לאחרונה.
המבט הכולל של כעת מציג מה כל צוות עושה ברגע זה. נתיב של כל פרויקט מציין אם צוות מסוים סורק אותו או ממתין, ומדוע.
סרוק עכשיו
בעלים ומנהלים יכולים להתחיל עבודה לפי בקשה מנתיב של כל פרויקט במבט הכולל, או סרוקו את כל הפרויקטים עכשיו עבור כל פרויקט:
- סריקה מלאה (צוות כחול): תלויות, סודות שנחשפו וקוד בראש הענף המוגדר;
- תלויות בלבד (צוות כחול), שמעדכן גם את נתוני הייעוץ שעימם הוא משווה;
- סודות שנחשפו בהיסטוריה (צוות כחול): סורק את כל ההיסטוריה שוב;
- מיפוי שטח התקיפה (צוות אדום);
- ביקורת אבטחה (צוות אדום), כאשר הוא מופעל: התפריט מציג מה מותר לו לבזבז לפני שהוא מתחיל;
- הפעילו שוב את ההוכחות (צוות אדום), כאשר בפרויקט נשמרו הוכחות: כל הפעלה מחדש מוצגת כ-Rerun של הבדיקה העצמאית.
סריקה שמישהו מתחיל פועלת כמו כל סריקה אחרת: היא תופסת אחד ממקומות הסוכן שלכם, וממתינה, כאשר מוצג כהמתנה, אם אין מקום פנוי או אם שעות הסוכן של התוכנית שלכם נגמרו.
מה עלות זה?
פעילות ללא מודל AI (מעקב, הגנה, אימות, מיפוי והוכחות) אינה צורכת קרדיטים. זמן הריצה שלה נספר כשעות סוכן, כמו כל פעילות אחרת, והיא ממתינה כאשר שעות התוכנית שלכם נגמרות. הביקורת, הסוכן השני של הבדיקה העצמאית ומשימות התיקון גם הם צורכים קרדיטים. ראו מה עלות זה?.