מודלי איומים

מודל איומים מציין היכן ניתן לתקוף פרויקט ומה חשוב ביותר במקרה של תקיפה. אבטחה שומרת על מודל כזה עבור כל פרויקט תחת הכרטיסייה אבטחה → מודלי איומים; הוא נוצר מתוך הקוד ונערך על ידי הצוות שלך.

הטיוטה#

Coroid יוצר את הגרסה הראשונה על ידי קריאת ענף ברירת המחדל, ללא מודל AI, כך שהטיוטה אינה עולה כסף. הוא פועל באחד משבצות הסוכנים שלך כמו סריקות אחרות. הוא קורא קוד JavaScript, TypeScript ו-Python ומזהה:

• נקודות כניסה: נתיבי HTTP ומטפלים, פעולות OpenAPI, צרכני תורים ופקודות שורת פקודה;
• מקומות בהם האמון משתנה: תוכנת ביניים לאימות וגבולות אחרים;
• נתונים רגישים: היכן נקראים קבצי תצורה וסודות (שמות בלבד, ללא ערכים);
• כתיבה שאין לה הגנה של בדיקת אימות.

למודל יש חמישה חלקים: נקודות כניסה, מקומות בהם האמון משתנה, נתונים רגישים, מה חשוב ביותר והערותיך. הטיוטה גם מפרטת מה לא נקרא ומדוע: קובץ שהיה גדול מדי או בלתי ניתן לקריאה, שפה שעדיין אינה נתמכת, או מגבלה שהושגה.

העריכות שלך נשמרות#

כל רשומה מתעדת מי כתב אותה. Coroid אינו ממחק את מה שאדם כתב.

בכל שבוע, ובכל פעם שבעלים או מנהל בוחרים לקרוא את הקוד שוב, Coroid קורא את הקוד שוב. הוא אינו משנה את המודל. במקום זאת הוא מציע שינויים: רשומות להוספה, עדכון או מחיקה. בעלים ומנהלים מקבלים אותם לגרסה חדשה או דוחים אותם; שינוי שנדחה לא יוצע שוב.

כאשר שינוי מתקבל, Coroid מדלג על כל מה שכבר אינו רלוונטי: רשומה שאדם שינה מאז, כזו שכבר קיימת, או כזו שנעלמה. הוא מציין מה דילג עליו. Coroid מציע למחוק רק את מה שכתבה הטיוטה שלו, ורק לאחר קריאה שכיסתה את כל הקוד. הניסוח שלך נשאר; רק מה ש־Coroid מצא בקוד משתנה.

גרסאות#

גרסה 1 היא הטיוטה. כל הצעה או עריכה שמתקבלת יוצרת גרסה חדשה, וההיסטוריה מציינת מי עשה מה: טיוטה שנוצרה מהקוד, עריכה שנעשתה על ידי אדם, עדכון של Coroid שנוסף על ידי אדם, או ייבוא מהגדרות.

מי יכול לשנות אותו#

כל מי שיכול לראות פרויקט יכול לקרוא את מודל האיומים שלו. בעלים ומנהלים עורכים אותו, מקבלים או דוחים הצעות, ומבקשים מ־Coroid לקרוא את הקוד שוב.

כיצד הוא משמש#

ה־ בדיקת אבטחה קורא את מודל האיומים כדי לקבוע אילו קבצים לקרוא קודם: קוד מהנתיבים ונקודות הכניסה בעלי ההשפעה הגבוהה במודל נקרא לפני השאר.

ניידות הגדרות#

מודל האיומים העדכני ביותר של כל פרויקט נכלל בחבילת ההגדרות של הארגון. ההיסטוריה וההצעות הפתוחות נשארות במקומן. ראה ניידות הגדרות.