Codex Security on uuringu eelversioon, mis on saadaval ChatGPT Enterprise'i, Edu, Businessi ja Pro kasutajatele. See aitab tiimidel koodis nõrkusi tuvastada, valideerida ja parandada. See on loodud töötama pigem turbeuurija kui traditsioonilise skannerina: see loeb koodi, käitab teste, uurib realistlikke ründeteid ja pakub välja paiku, mida tiimid saavad oma tavapärases töövoos üle vaadata.
Ülevaade
Codex Security ühendub GitHubi varamutega ja koostab sinu koodibaasile kohandatud ohumudeli. Saad skannida tervet varamut või kommitte. Codex Security uurib võimalikke turvanõrkusi, püüab neid isoleeritud keskkonnas kinnitada ja pakub sinu tiimile ülevaatamiseks parandusi.
Kuidas Codex Security töötab
Codex Security lähtub analüüsimisel ohumudelist. Mudel kirjeldab ründaja sisenemispunkte, usalduspiire, tundlikke andmeid ja olulisi koodi täitmisteid. Saad seda uurida ja muuta, et see vastaks sinu rakenduse juurutusviisile. Kogu varamu skannimisel hinnatakse koodibaasi, kommite skannimisel aga uuritakse varamu muudatusi.
Käivita skannimine
Vali kogu varamu või kommite skannimine ja oota, kuni see lõpeb. Codex Security kasutab võimalike turvanõrkuste uurimiseks varamu ohumudelit.
Tasuline kasutus
Codex Security Cloudi arveldus on tokenipõhine. Olemasolevaid kliente teavitatakse ette ja nad peavad enne tasulise kasutuse algust selleks nõusoleku andma.
Kui skannimiseks pole raha saadaval, siis skannimine peatub. Enne tasulise skannimise jätkamist vaata üle arveldusteade ja kontrolli, kui palju raha on saadaval.
Daybreak Blue kasutusõigus
Codex Security Cloudiga kaasnev Daybreak Blue kasutusõigus kehtib Cloudi toote piires. See ei anna õigust kasutada Daybreak Blued teistes Codex Security toodetes ega API kaudu.
Alustamine
Minge jaotisse Codex Security.
Ühendage ja lubage GitHubi varamud, mida soovite, et Codex Security skanniks.
Oodake, kuni esmane skannimine lõpeb. Codex Security koostab esmalt projekti ohumudeli ja skannib varamu ajalugu olemasolevate nõrkuste leidmiseks. Suurte projektide puhul võib see kauem aega võtta. Uue koodi skannimised on kiiremad.
Vaadake üle leiud, valideerimise üksikasjad ja väljapakutud paigad.
Rollipõhised juurdepääsukontrollid (RBAC)
Enterprise'i ja Edu tööjaamade puhul saavad administraatorid hallata Codex Security juurdepääsu tööjaama õigustes. Codex Security kasutamiseks peavad tööjaamas olema lubatud nii Codex Cloudi kui ka Codex Security juurdepääs. Juurdepääsu saab RBAC-i kaudu piirata ka konkreetsete rollide või rühmadega, sealhulgas SCIM-iga sünkroonitud rühmadega. Et liikmed saaksid hallata Codex Security skannimiskonfiguratsioone, lubage sobivale rollile või rühmale ka Codex Security administraatori õigus.
Tööjaama õiguste värskendamiseks tehke järgmist.
Valige ChatGPT-s oma profiiliikoon ja seejärel Workspace Settings > Permissions, et avada tööjaama õigused.
Kerige alla jaotiseni Codex Cloud.
Veenduge, et Codex Cloudi juurdepääs oleks lubatud.
Lubage või keelake juurdepääs, lülitades sisse või välja valiku Allow members to use Codex Security.
Kui roll või rühm peaks haldama skannimiskonfiguratsioone, lubage ka Allow members to administer Codex Security.
Lisateave rollipõhiste juurdepääsukontrollide kohta teie ChatGPT tööjaamas.
Parimad tavad
Alustage väikese varamute kogumi ja eraldi ülevaatajate rühmaga. Soovitame alguses keskendunud kasutuselevõttu, eriti ajal, mil sisseelamine ja nõrkuste jagamine on veel suhteliselt käsitsi tehtavad.
Täpsustage ohumudelit õppimise käigus. Väikesed mudeli uuendused võivad aja jooksul konteksti parandada ja leiud täpsemaks muuta.
Kui te praegu GitHub Cloudi ei kasuta, kaaluge hindamise alustamist väiksema riskiga või mitte-tootmiskeskkonna varamutest. See aitab tiimidel enne laiemat kasutuselevõttu töövoo suhtes kindlustunnet kasvatada.
Vaadake loodud paikade PR-id üle oma tavapärase ülevaatusprotsessi järgi. Soovitame kasutada Codex Code Review'd ka Codex Security PR-idel, et parandused ei tooks sisse regressioone.
KKK
Kas Codex Security muudab mu koodi automaatselt?
Ei. Codex Security pakub paiga inimesele ülevaatamiseks. Selle ettepaneku põhjal saab luua pull request’i, kuid see ei muuda teie koodi automaatselt.
Kas Codex Security tugineb hägustestimisele või signatuuripõhisele skannimisele?
Ei. Codex Security kasutab hägustestimise või signatuuripõhise skannimise asemel keelemudeli arutlust, tööaegset arvutusvõimsust, tööriistu ja suurt konteksti.
Kas saan ohumudelit vaadata või muuta?
Jah. Ohumudel on nähtav ja muudetav, et meeskonnad saaksid vaadata, kuidas Codex Security rakendust mõistab, ning kohandada eeldusi oma keskkonnale vastavaks.
Mida valideerimine tähendab?
Valideerimisel proovib Codex Security võimalikku haavatavust isoleeritud keskkonnas reprodutseerida, enne kui sellest teatab. See aitab vähendada valepositiivsete tulemuste hulka ja tagada leidude asjakohasuse.
Mis juhtub pärast leiu valideerimist?
Pärast valideerimist pakub Codex Security algpõhjuse kõrvaldavat paika, mille põhjal saab luua ülevaatamiseks pull request’i.