En hotmodell beskriver hur ett projekt kan angripas och vad som är viktigast om ett angrepp sker. Under Säkerhet → Hotmodeller sparas en hotmodell per projekt, som tas fram utifrån koden och redigeras av ditt team.
Utkastet
Coroid tar fram den första versionen genom att läsa standardgrenen, utan någon AI modell, så utkastet kostar inget. Det använder en av dina agentplatser, precis som andra skanningar. Det läser JavaScript, TypeScript och Python och hittar:
- Ingångspunkter: HTTP-rutter och hanterare, OpenAPI-operationer, kökonsumenter och kommandoradskommandon;
- Där tillitsgränser passeras: autentiseringsmellanprogramvara och andra gränser;
- Känsliga data: var konfiguration och hemligheter läses (endast namn, aldrig värden);
- skrivningar som inte skyddas av någon autentiseringskontroll.
Modellen har fem avsnitt: Ingångspunkter, Där tillitsgränser passeras, Känsliga data, Det viktigaste och Dina anteckningar. I utkastet listas också sådant som inte gick att läsa och varför: en fil som var för stor eller inte gick att läsa, ett språk som den ännu inte kan läsa eller en gräns som den nådde.
Dina ändringar sparas
Varje post anger vem som skrev den. Coroid skriver aldrig över det en person har skrivit.
Varje vecka och när en ägare eller administratör väljer Läs koden igen, läser Coroid koden igen. Modellen ändras inte. I stället föreslås ändringar: poster som ska läggas till, uppdateras eller tas bort. Ägare och administratörer kan godkänna dem i en ny version eller avfärda dem. En avfärdad ändring föreslås inte igen.
När en ändring godkänns hoppar Coroid över sådant som inte längre stämmer: en post som en person har ändrat sedan dess, en som redan finns eller en som har tagits bort. Den anger vad den hoppade över. Coroid föreslår bara att ta bort sådant som dess eget utkast skrev, och endast efter en avläsning som omfattade all kod. Din formulering består; bara det Coroid hittade i koden ändras.
Versioner
Version 1 är utkastet. Varje godkänt förslag eller redigering skapar en ny version, och historiken visar vem som gjorde vad: tog fram utkastet från koden, redigerade det, lade till en uppdatering från Coroid eller importerade den från inställningarna.
Vem kan ändra den
Alla som kan se ett projekt kan läsa dess hotmodell. Ägare och administratörer kan redigera den, godkänna eller avfärda förslag och be Coroid att läsa koden igen.
Så används den
Granskningen av säkerheten läser hotmodellen för att avgöra vilka filer som ska läsas först: kod längs modellens vägar med stor påverkan och vid dess ingångspunkter läses före resten.
Portabilitet för inställningar
Den senaste hotmodellen för varje projekt följer med i organisationens inställningspaket. Historiken och öppna förslag stannar där de är. Se Portabilitet för inställningar.