Codex Security on tutkimuksen esikatseluversio, joka on saatavilla ChatGPT Enterprise-, Edu-, Business- ja Pro-käyttäjille. Se auttaa tiimejä tunnistamaan, validoimaan ja korjaamaan koodin haavoittuvuuksia. Se on suunniteltu toimimaan enemmän tietoturvatutkijan kuin perinteisen skannerin tavoin: se lukee koodia, suorittaa testejä, tutkii realistisia hyökkäyspolkuja ja ehdottaa korjauksia, jotka tiimit voivat tarkistaa normaalissa työnkulussaan.
Yleiskatsaus
Codex Security yhdistyy GitHub-repositorioihin ja luo koodikannallesi räätälöidyn uhkamallin. Voit tarkistaa koko repositorion tai yksittäisiä committeja. Codex Security tutkii mahdollisia haavoittuvuuksia, pyrkii todentamaan ne eristetyssä ympäristössä ja ehdottaa korjauksia tiimisi arvioitavaksi.
Miten Codex Security toimii
Codex Security ohjaa analyysiaan uhkamallin avulla. Malli kuvaa hyökkääjän sisääntulokohdat, luottamusrajat, arkaluonteiset tiedot ja tärkeät koodin suorituspolut. Voit tarkastella ja muokata sitä vastaamaan sovelluksesi käyttöönottoympäristöä. Koko repositorion tarkistukset arvioivat koodikantaa, kun taas commit-tarkistukset tutkivat repositorion muutoksia.
Suorita tarkistus
Valitse koko repositorion tarkistus tai commit-tarkistus ja odota, että tarkistus valmistuu. Codex Security tutkii mahdollisia haavoittuvuuksia repositorion uhkamallin avulla.
Maksullinen käyttö
Codex Security Cloudin laskutus perustuu tokenien määrään. Nykyisille asiakkaille ilmoitetaan maksullisesta käytöstä, ja heidän on hyväksyttävä se ennen sen alkamista.
Jos tarkistuksiin ei ole käytettävissä varoja, tarkistukset keskeytyvät. Tutustu laskutusilmoitukseen ja tarkista käytettävissä olevat varat ennen maksullisten tarkistusten jatkamista.
Daybreak Bluen käyttöoikeus
Codex Security Cloudiin sisältyvä Daybreak Bluen käyttöoikeus koskee käyttöä Cloud-tuotteessa. Se ei anna oikeutta käyttää Daybreak Blueta muissa Codex Security -tuotteissa tai API:n kautta.
Aloittaminen
Siirry Codex Securityyn.
Yhdistä ja ota käyttöön GitHub-repositoriot, jotka haluat Codex Securityn skannaavan.
Odota, että ensimmäinen skannaus valmistuu. Codex Security rakentaa ensin projektille uhkamallin ja skannaa repositorion historian olemassa olevien haavoittuvuuksien varalta. Tämä voi kestää kauemmin suurissa projekteissa. Uuden koodin skannaukset ovat nopeampia.
Tarkista löydökset, validointitiedot ja ehdotetut korjaukset.
Roolipohjaiset käyttöoikeuksien hallintakeinot (RBAC)
Enterprise- ja Edu-työtiloissa järjestelmänvalvojat voivat hallita Codex Securityn käyttöoikeuksia työtilan käyttöoikeuksissa. Codex Security edellyttää, että työtilassa on käytössä sekä Codex Cloudin että Codex Securityn käyttöoikeus. Käyttö voidaan myös rajata tiettyihin rooleihin tai ryhmiin RBAC:n avulla, mukaan lukien SCIM-synkronoidut ryhmät. Jotta jäsenet voivat hallita Codex Securityn skannausmäärityksiä, ota myös Codex Securityn järjestelmänvalvojan oikeus käyttöön asianmukaiselle roolille tai ryhmälle.
Työtilasi käyttöoikeuksien päivittäminen:
Valitse ChatGPT:ssä profiilikuvakkeesi ja avaa sitten Työtilan asetukset > Käyttöoikeudet, jotta voit avata työtilan käyttöoikeudet.
Vieritä alas kohtaan Codex Cloud.
Varmista, että Codex Cloudin käyttöoikeus on käytössä.
Ota käyttöön tai poista käytöstä valitsemalla Salli jäsenten käyttää Codex Securityä.
Jos roolin tai ryhmän pitää hallita skannausmäärityksiä, ota käyttöön myös Salli jäsenten hallinnoida Codex Securityä.
Lue lisää roolipohjaisista käyttöoikeuksien hallintakeinoista ChatGPT-työtilassasi.
Parhaat käytännöt
Aloita pienellä määrällä repositorioita ja erillisellä tarkistajaryhmällä. Suosittelemme aluksi kohdennettua käyttöönottoa, etenkin kun perehdytys ja haavoittuvuuksien jakaminen ovat vielä melko manuaalisia.
Tarkenna uhkamallia oppimasi perusteella. Pienet päivitykset malliin voivat parantaa kontekstia ja tehdä löydöksistä ajan mittaan tarkempia.
Jos et tällä hetkellä käytä GitHub Cloudia, harkitse aloittamista arviointia varten pienemmän riskin repositorioista tai muista kuin tuotantorepositorioista. Se voi auttaa tiimejä rakentamaan luottamusta työnkulkuun ennen laajempaa käyttöönottoa.
Tarkista luodut korjaus-PR:t normaalilla tarkistusprosessillasi. Suosittelemme myös käyttämään Codex Code Review’ta Codex Securityn PR:issä, jotta korjaus ei aiheuta regressioita.
Usein kysytyt kysymykset
Muokkaako Codex Security koodiani automaattisesti?
Ei. Codex Security ehdottaa korjausta ihmisen tarkistettavaksi. Ehdotuksesta voi tehdä pull requestin, mutta se ei muokkaa koodiasi automaattisesti.
Perustuuko Codex Security fuzzaukseen tai allekirjoituspohjaiseen tarkistukseen?
Ei. Codex Security käyttää fuzzauksen tai allekirjoituspohjaisen tarkistuksen sijaan kielimallin päättelyä, testiaikaista laskentaa, työkaluja ja laajaa kontekstia.
Voinko tarkastella tai muokata uhkamallia?
Kyllä. Uhkamallia voi tarkastella ja muokata. Näin tiimit voivat nähdä, miten Codex Security ymmärtää sovelluksen, ja päivittää oletukset ympäristöönsä sopiviksi.
Mitä validointi tarkoittaa?
Validoinnissa Codex Security yrittää toistaa mahdollisen haavoittuvuuden eristetyssä ympäristössä ennen sen tuomista esiin. Tarkoituksena on vähentää vääriä positiivisia tuloksia ja pitää löydökset olennaisina.
Mitä tapahtuu, kun löydös on validoitu?
Validoinnin jälkeen Codex Security ehdottaa juurisyyn korjaavaa muutosta, josta voi tehdä pull requestin tarkistettavaksi.