Varje del av Säkerhet hör till en av tre roller. Översikt, fliken Operations, Mjukvarufabrik och Inställningar → Aktivitet visar alla arbete som utförs av dessa roller.
- Red team: angriper isolerade kopior av din kod. Det letar efter vägar in, som en angripare skulle göra, och försöker bevisa att de fungerar.
- Oberoende kontroll: avgör vad som räknas. Ett påstående blir ett fynd först när en andra agent kommer fram till samma sak, eller när beviset kan återskapas två gånger.
- Blue team: skyddar själva koden. Det håller utkik efter kända problem, skyddar varje ändring, åtgärdar det som går och kontrollerar att åtgärderna håller.
Red team
| Station | Vad den gör |
|---|---|
| Kartläggning | Läser koden för att hitta alla vägar in: HTTP-rutter, webhooks, kökonsumenter och kommandoradskommandon. Tar fram en hotmodell och fyller i fliken Angreppsyta . Kartläggningen använder ingen AI-modell och är alltid aktiv. |
| Jakt | Den säkerhetsgranskningen granskar din viktigaste kod som en angripare, med start vid de ingångspunkter som går att nå från internet. Den använder en modell och förbrukar därför krediter, och är avstängd tills du aktiverar den. |
| Bevisa | Testar varje påstående i en isolerad kopia av din kod med ett test som misslyckas medan sårbarheten finns kvar. |
Den oberoende kontrollen
| Station | Vad den gör |
|---|---|
| Härleda på nytt | En andra agent härleder varje påstående på nytt utifrån koden. Säkerhetsproblem som CoRoid Review rapporterar i pull requests går också igenom den här kontrollen. |
| Köra om | Ett bevis räknas först när det kan återskapas två gånger i två nya miljöer. |
Tills ett påstående har godkänts visas det som ”Ännu inte bekräftat”: det har inget förfallodatum, blockerar ingenting och skickar inga aviseringar. Se Bevis.
Blue team
| Station | Vad den gör |
|---|---|
| Övervakning | Sårbara beroenden, läckta hemligheter, kod och GitHub egna aviseringar, på standardgrenen. |
| Skydd | Skannar varje pull request och varje agentändring innan den mergas, även nya ingångspunkter utan inloggningskontroll (se Angreppsyta). Även sandlådenätverket som agenterna arbetar bakom. |
| Åtgärd | Öppnar pull requests för att åtgärda fel i sårbara beroenden och bekräftade kodfynd. |
| Verifiering | Skannar driftsatta och åtgärdade revisioner på nytt, så att ett fynd stängs först när åtgärden verkligen finns där. |
Återkopplingsloopen
Ett bevis som har kunnat återskapas sparas som en regressionstestkontroll. Den körs igen mot nya kandidater, och en ägare eller administratör kan köra projektets sparade bevis på nytt mot den senaste versionen på standardgrenen (Kör bevisen igen). Om sårbarheten återkommer öppnas fyndet igen.
Fliken Operations
Säkerhet → Operations visar hur teamen har arbetat tillsammans den här veckan:
- Kartan: stationerna för varje team med deras körningar den här veckan, och den oberoende kontrollen mellan red team och blue team. Välj en station för att se dess körningar.
- Körningsloggen: alla körningar, med den senaste först, och uppgifter om projekt, team, varaktighet och resultat. Rutinkörningar skiljs från körningar som någon har startat. Filtrera efter team eller dag.
- Återkopplingsloopen: hur många bevis som sparats som regressionstestkontroller och när de senast kördes igen.
På Översikt visar raden Nu vad varje team gör just nu. Varje projekts spår visar om ett team skannar projektet eller väntar, och varför.
Skanna nu
Ägare och administratörer kan starta arbete på begäran från varje projekts spår på Översikt, eller välja Skanna alla projekt nu för samtliga projekt:
- Fullständig skanning (blue team): beroenden, läckta hemligheter och kod på den senaste versionen av standardgrenen;
- Endast beroenden (blue team), vilket också uppdaterar de data om säkerhetsråd som den jämför mot;
- Läckta hemligheter i historiken (blue team): går igenom hela historiken igen;
- Kartlägg angreppsytan (red team);
- Säkerhetsgranskning (red team), om den är aktiverad: menyn visar vad den kan komma att kosta innan den startar;
- Kör bevisen igen (red team), om projektet har sparade bevis: varje uppspelning visas som den oberoende kontrollens Kör om.
En skanning som någon startar körs som vilken annan körning som helst: den tar en av agentplatserna och väntar, med statusen väntar, när ingen plats är ledig eller planens agenttimmar är förbrukade.
Vad det kostar
Arbete utan en AI-modell (övervakning, skydd, verifiering, kartläggning och bevis) förbrukar inga krediter. Körtiden räknas som agenttimmar, precis som annat arbete, och arbetet väntar när planens timmar är förbrukade. Granskningen, den oberoende kontrollens andra agent och åtgärdsuppgifter förbrukar också krediter. Se Vad det kostar.