Säkerhet bevakar dina kodarkiv efter kända sårbara beroenden, läckta inloggningsuppgifter och sårbar kod. Allt som hittas samlas i en lista, och bekräftade fynd blir pull requests som teamet granskar och mergar.
Det här avsnittet beskriver produktfunktionen för säkerheten i din kod. Information om hur Coroid skyddar din kod och dina data finns i Säkerhet och driftsättning.
Vad funktionen gör
| Skydd | Vad funktionen gör | Kan underkänna en kontroll |
|---|---|---|
| Sårbara beroenden | Läser varje projekts låsfiler på den aktuella spetsen av standardgrenen och matchar varje paket mot publicerade säkerhetsråd. Skannar även ändringar i varje pull requests låsfil på samma sätt. | Ja |
| Åtgärda sårbara beroenden | Öppnar en pull request som uppgraderar ett sårbart paket, med kritiska fynd först. | Nej |
| Läckta hemligheter | Letar efter inloggningsuppgifter i varje ändring och gör en genomgång av hela standardgrenens historik. | Ja |
| Kodskanning | Coroids säkerhetsregler för kod, samt ditt eget skanningskommando om du har ett. | Ja |
| Säkerhetsgranskning av pull requests | Kontrollerar säkerhetsproblem som Coroid Granskning lyfter, med en oberoende kontroll, innan något av dem kan underkänna en pull request. | Ja |
| GitHubs säkerhetsaviseringar | Importerar aviseringar från Dependabot, kodskanning och skanning efter hemligheter så att de visas tillsammans med Coroids egna fynd. | Nej |
| Säkerhetsgranskning | Granskar den viktigaste koden och koden som ändrats sedan den senaste granskningen för att hitta sårbarheter. Behåller endast sådant som bekräftas av en oberoende kontroll. | Nej |
Varje skydd förklaras på en egen sida i det här avsnittet. Läs mer om Skydd och tillämpning om hur de aktiveras, övervakas och tillämpas.
Var du hittar funktionen
Säkerhet har en egen plats i huvudmenyn, efter Kvalitetskontroll:
- Översikt: öppna fynd efter allvarlighetsgrad och antal som passerat förfallodatum, varje projekts täckning och senaste skanning, förlopp för åtgärder samt status för säkerhetsrådsdata och GitHubs aviseringar.
- Iakttagelser: den samlade listan över allt som Säkerhet har hittat, grupperat per projekt. Se Fynd och deras livscykel.
- Beroenden: varje projekts paketförteckning, med export i CycloneDX-format. Se Sårbara beroenden.
- Hotmodeller: en per projekt. Se Hotmodeller.
- Inställningar: organisationens standardinställning och inställningar för varje projekt, med en omkopplare för varje skydd.
Alla medlemmar kan se Översikt, Iakttagelser, Beroenden och Hotmodeller för de projekt de har åtkomst till. Organisationsägare och administratörer ändrar inställningar, hotmodeller och undantag samt hanterar fynd. Åtgärdsuppgifter är vanliga arbetsuppgifter: de visas i Mjukvarufabrik, och ett fynd länkar till sin uppgift och pull request.
Så fattas beslut
Det är bevisen som avgör. Ett fynd blockerar en pull request eller leder till en avisering endast om det finns bevis av en angiven typ, verifierade vid en specifik commit. Allt annat listas som ”Ännu inte bekräftat” och leder inte till något mer. Se Bevis.
Inga tysta gröna resultat. Ett rent resultat räknas endast efter en fullständig skanning. En ofullständig skanning, förlorad behörighet, inaktuell inventering eller försenade säkerhetsrådsdata visas som okänd eller partiell täckning, aldrig som åtgärdad.
Människor behåller kontrollen. Coroid öppnar pull requests; människor mergar dem. Undantag, skannerkonfiguration och offentliggörande hanteras i Säkerhet av ägare och administratörer, aldrig genom en ändring som granskas.
Privat som standard. Information om en sårbarhet som ännu inte är offentlig stannar inom Coroid tills någon med behörighet offentliggör den. Se Offentliggörande.
Coroid använder aldrig inloggningsuppgifter som tjänsten hittar. Den testar inte en läckt inloggningsuppgift för att se om den fungerar.
Vad det kostar
Säkerhet ingår i alla abonnemang, även Free.
- Det kostar inget att upptäcka. Inventering, matchning mot säkerhetsråd, skanning efter hemligheter och kod samt import av aviseringar använder ingen AI-modell och förbrukar därför varken krediter eller timmar för agenter. Varje organisations egna skanningar använder en av dess agentplatser medan de körs. Om ingen är ledig får skanningarna vänta, vilket visas som väntande i Mission Control, och täckningen anges som okänd tills skanningarna körs. Om du pausar agentarbete i Mission Control pausas inte säkerhetsskanningarna.
- Arbete som använder en modell debiteras som allt annat arbete: åtgärdsuppgifter, säkerhetsgranskningen och den oberoende kontrollen av Coroid Gransknings säkerhetspåståenden. Det förbrukar dina krediter och timmar för agenter, visas i Inställningar → Aktivitet och väntar när krediterna eller timmarna tar slut. Upptäckten fortsätter.
Det här omfattas inte ännu
Containeravbildningar, infrastruktur som kod, skanning vid körning och licenser omfattas inte. CI-arbetsflödeskonfiguration omfattas endast av Coroids befintliga kodregler. Det framgår av Översikt, så inget framstår som täckt om det inte är det.