Модель угроз описывает, где проект может подвергнуться атакам и что наиболее важно в случае возникновения угрозы. В разделе Безопасность хранится по одной модели угроз на проект в разделе «Безопасность» → «Модели угроз»; она составляется на основе кода и редактируется вашей командой.
Черновик
Coroid создает первую версию черновика, анализируя код ветки по умолчанию без использования модели AI, поэтому создание черновика не требует дополнительных затрат. Процесс выполняется в одном из ваших слотов агентов, как и другие сканирования. Система анализирует код на JavaScript, TypeScript и Python и находит следующее:
- Точки входа: HTTP-маршруты и обработчики, операции OpenAPI, потребители очередей и командные строки;
- Места изменения уровня доверия: промежуточное программное обеспечение для аутентификации и другие границы доверия;
- Конфиденциальные данные: места чтения конфигураций и секретов (только названия, значения не указываются);
- записи, для которых не предусмотрена проверка аутентификации.
Модель состоит из пяти разделов: «Точки входа», «Места изменения уровня доверия», «Конфиденциальные данные», «Что наиболее важно» и «Ваши примечания». В черновике также перечислены элементы, которые система не смогла проанализировать, и причины: слишком большой или нечитаемый файл, язык, который еще не поддерживается, или достигнутый лимит.
Ваши правки сохраняются
Для каждой записи указывается автор правки. Coroid никогда не перезаписывает то, что внес человек.
Каждую неделю, а также по желанию Владельца или администратора Снова проанализировать код, Coroid повторно анализирует код. При этом модель не меняется; система лишь предлагает изменения: добавить, обновить или удалить записи. Владельцы и администраторы принимают их в новую версию или отклоняют; отклоненные изменения больше не предлагаются повторно.
При принятии изменения Coroid пропускает элементы, которые уже не актуальны: записи, измененные человеком после создания черновика, уже существующие записи или удаленные элементы. Система указывает, какие элементы были пропущены. Coroid предлагает удалить только те записи, которые были созданы ее собственным черновиком, и только после анализа всего кода. Ваш текст сохраняется; меняются только элементы, найденные системой в коде.
Версии
Версия 1 — это черновик. Каждая принятая поправка или правка создает новую версию, а история версий отражает, кто и что сделал: черновик, созданный на основе кода, правка, внесенная человеком, обновление от Coroid, добавленное человеком, или импорт из Настроек.
Кто может изменять модель
Любой пользователь, имеющий доступ к проекту, может просматривать его модель угроз. Владельцы и администраторы редактируют ее, принимают или отклоняют предложения и могут попросить Coroid снова проанализировать код.
Как используется модель
Аудит безопасности читает модель угроз, чтобы определить, какие файлы анализировать в первую очередь: код из точек входа и участков с высоким уровнем риска в модели обрабатывается раньше остального кода. читает модель угроз, чтобы определить, какие файлы прочитать в первую очередь: код из путей с высоким воздействием и точек входа, указанных в модели, — раньше остального.
Последняя модель угроз каждого проекта включается в пакет настроек организации. Ее история и открытые предложения остаются на своих местах. Подробнее
Портируемость настроек Переносимость настроек.