규칙은 알려진 패턴을 찾아냅니다. 보안 감사는 규칙이 놓치는 부분을 탐지하는데, AI 모델이 프로젝트의 가장 중요한 코드와 지난 감사 이후 변경된 코드에서 취약점을 찾아냅니다. 독립적인 검증을 통과한 항목만 발견 사항으로 인정됩니다.
활성화 방법
보안 → 설정 →보안 감사실행 스위치와 실행 주기(매일, 매주가 기본값, 월별도 가능)를 설정할 수 있습니다. 스위치를 켜기 전에는 요금제에 따라 자동으로 적용되며, 무료 요금제에서는 꺼져 있고 유료 요금제에서는 켜져 있습니다. 무료 조직에서도 이 기능을 켜거나 유료 조직에서 끌 수 있으며, 조직 전체 또는 개별 프로젝트 단위로 설정할 수도 있습니다.
감사는 해당 기능이 활성화된 각 프로젝트의 기본 브랜치를 대상으로 합니다.
실행 시 수행되는 작업
- 파일 선택Coroid는 프로젝트의 소스 파일을 순위별로 나누어 가장 중요한 파일부터 분석합니다.위협 모델의 영향도가 높은 경로와 진입점, 그리고 지난 감사 이후 변경된 코드를 우선적으로 분석하며, 변경되지 않은 코드는 나중에 처리됩니다. 한 번의 실행에서 최대 40개 파일까지 분석합니다.
- 취약점 탐지각 파일에 대해 모델은 SQL 삽입, 명령어 삽입, XSS, CSRF, 서버 측 요청 위조, 경로 탐색, 열린 리다이렉트, 안전하지 않은 역직렬화, 접근 제어 오류, 인증 오류, 하드코딩된 자격 증명, 약한 암호화, 정보 노출, 리소스 고갈 등 일정한 유형의 취약점을 찾아냅니다. 정확한 라인 번호를 명시해야 하며, 코드 외부를 가리키는 결과는 무시됩니다.
- 확인각 문제는아직 확인되지 않음로 기록됩니다. 심각하거나 중요도가 높은 문제의 경우 독립적인 검증을 통해 해당 커밋의 코드에서 문제를 재확인합니다. 확인되면 해당 문제는 확정된 발견 사항이 되며, 검증된 정적 발견 사항이 증거로 남습니다.증거.
- 유사 취약점 탐색결함은 종종 그룹을 이루어 나타납니다. 확정된 발견 사항마다 Coroid가 저장소 내에서 동일한 패턴을 찾아내고 같은 방식으로 검증합니다.
감사에서 발견된 내용은보안 감사를 소스로 하여 보안 → 발견 사항에 표시됩니다.
비용
이 감사는 AI 모델을 사용하므로 다른 작업과 마찬가지로 크레딧과 에이전트 시간을 소모하며, 실행 중에는 Mission Control에, 설정 → 활동에는 비용 정보가 표시됩니다.
각 실행에는 예산이 정해져 있습니다. 예산에 도달하거나 크레딧·에이전트 시간이 소진되면 실행은 중단되고 이미 확인된 결과는 유지됩니다. 다음 실행은 가장 중요한 코드부터 다시 시작됩니다. 대형 프로젝트의 경우 여러 작업에 걸쳐 실행되므로 한 번의 실행이 오랫동안 에이전트 슬롯을 점유하지 않습니다.
발견된 문제 수정
소유자와 관리자는수정를 확정된 발견 사항에 적용하여 수정 작업을 생성할 수 있습니다.수정 풀 리퀘스트. 다만 감사 기능 자체는 아직 수정 작업을 자동으로 생성하지는 않습니다.
감사에서 발견된 내용은 사용자 자신의 코드에 속하므로 공개되지 않습니다. 공개 저장소이거나 Coroid가 가시성을 확인할 수 없는 저장소의 경우, 소유자나 관리자가 공개하기 전까지 수정 내용은 비공개로 유지됩니다.공개 정책.
증명 자료
**예정됨.**Coroid는 후보 문제를 격리된 환경의 임시 애플리케이션 복사본에서 네트워크 접근, 자격 증명, 고객 데이터 없이 실행하여 증명하고, 이를 회귀 테스트로 전환할 예정입니다. 그때까지는 위에서 설명한 독립적인 검증이 감사의 증거가 됩니다.
보안 감사 보고서
새 작업에서는 더 이상 서면 보안 감사 보고서를 제공하지 않으며, 대신 보안 섹션의 감사 발견 사항으로 연결됩니다.