Codex Security yra tyrimų peržiūros versija, prieinama ChatGPT Enterprise, Edu, Business ir Pro naudotojams. Ji padeda komandoms nustatyti, patvirtinti ir ištaisyti kodo pažeidžiamumus. Ji sukurta veikti labiau kaip saugumo tyrėjas, o ne tradicinis skeneris: ji skaito kodą, vykdo testus, nagrinėja realistiškus atakų kelius ir siūlo pataisas, kurias komandos gali peržiūrėti įprastoje darbo eigoje.
Apžvalga
„Codex Security“ prisijungia prie „GitHub“ saugyklų ir sukuria jūsų kodo bazei pritaikytą grėsmių modelį. Galite nuskaityti visą saugyklą arba atskirus pakeitimų įrašus. „Codex Security“ tiria galimus pažeidžiamumus, bando juos patvirtinti izoliuotoje aplinkoje ir siūlo pataisas, kurias jūsų komanda gali peržiūrėti.
Kaip veikia „Codex Security“
Atlikdama analizę, „Codex Security“ vadovaujasi grėsmių modeliu. Modelyje aprašomi užpuolikų patekimo taškai, pasitikėjimo ribos, jautrūs duomenys ir svarbūs kodo vykdymo keliai. Galite jį peržiūrėti ir redaguoti, kad jis atitiktų jūsų programos diegimo aplinką. Nuskaitant visą saugyklą vertinama kodo bazė, o nuskaitant pakeitimų įrašus nagrinėjami saugyklos pakeitimai.
Paleiskite nuskaitymą
Pasirinkite visos saugyklos arba pakeitimų įrašų nuskaitymą ir palaukite, kol jis bus baigtas. „Codex Security“ naudoja saugyklos grėsmių modelį galimiems pažeidžiamumams tirti.
Mokamas naudojimas
Mokestis už „Codex Security Cloud“ naudojimą skaičiuojamas pagal žetonų skaičių. Esami klientai gauna pranešimą ir turi duoti sutikimą prieš pradedant mokamą naudojimą.
Jei nuskaitymams nėra lėšų, nuskaitymas pristabdomas. Prieš tęsdami mokamą nuskaitymą, peržiūrėkite pranešimą apie apmokestinimą ir patikrinkite turimas lėšas.
Prieiga prie „Daybreak Blue“
Su „Codex Security Cloud“ suteikiama prieiga prie „Daybreak Blue“ galioja tik „Cloud“ produkte. Ji nesuteikia prieigos prie „Daybreak Blue“ kituose „Codex Security“ produktuose ar per API.
Pradžia
Eikite į Codex Security.
Prijunkite ir įjunkite GitHub saugyklas, kurias norite, kad Codex Security nuskaitytų.
Palaukite, kol pradinis nuskaitymas bus baigtas. Codex Security pirmiausia sukuria projekto grėsmių modelį ir nuskaito saugyklos istoriją, ieškodama esamų pažeidžiamumų. Dideliems projektams tai gali užtrukti ilgiau. Naujo kodo nuskaitymai yra greitesni.
Peržiūrėkite radinius, validavimo informaciją ir siūlomas pataisas.
Vaidmenimis pagrįsta prieigos kontrolė (RBAC)
Enterprise ir Edu darbo erdvėse administratoriai gali valdyti prieigą prie Codex Security darbo erdvės leidimuose. Kad Codex Security veiktų, darbo erdvėje turi būti įjungta ir Codex Cloud, ir Codex Security prieiga. Prieigą taip pat galima apriboti konkrečiais vaidmenimis ar grupėmis naudojant RBAC, įskaitant su SCIM sinchronizuotas grupes. Kad nariai galėtų valdyti Codex Security nuskaitymo konfigūracijas, taip pat įjunkite Codex Security administratoriaus leidimą atitinkamam vaidmeniui ar grupei.
Norėdami atnaujinti darbo erdvės leidimus:
ChatGPT pasirinkite savo profilio piktogramą, tada pasirinkite Darbo erdvės nustatymai > Leidimai, kad atidarytumėte darbo erdvės leidimus.
Slinkite žemyn iki Codex Cloud.
Įsitikinkite, kad Codex Cloud prieiga įjungta.
Įjunkite arba išjunkite prieigą perjungdami Leisti nariams naudoti Codex Security.
Jei vaidmuo ar grupė turėtų valdyti nuskaitymo konfigūracijas, taip pat įjunkite Leisti nariams administruoti Codex Security.
Sužinokite daugiau apie vaidmenimis pagrįstą prieigos kontrolę savo ChatGPT darbo erdvėje.
Geriausios praktikos
Pradėkite nuo nedidelio saugyklų rinkinio ir specialios peržiūrėtojų grupės. Iš pradžių rekomenduojame kryptingą diegimą, ypač kol įtraukimas ir pažeidžiamumų bendrinimas vis dar yra gana rankiniai.
Tobulinkite grėsmių modelį mokydamiesi. Nedideli modelio atnaujinimai laikui bėgant gali pagerinti kontekstą ir padaryti radinius tikslesnius.
Jei šiuo metu nenaudojate GitHub Cloud, vertinimui apsvarstykite galimybę pradėti nuo mažesnės rizikos arba ne gamybinių saugyklų. Tai gali padėti komandoms įgyti pasitikėjimo darbo eiga prieš platesnį pritaikymą.
Sugeneruotas pataisų išsiuntimo užklausas peržiūrėkite taikydami įprastą peržiūros procesą. Taip pat rekomenduojame naudoti Codex Code Review Codex Security išsiuntimo užklausoms, kad taisymas nesukeltų regresijų.
DUK
Ar „Codex Security“ automatiškai keičia mano kodą?
Ne. „Codex Security“ pasiūlo pataisą, kurią turi peržiūrėti žmogus. Iš šio pasiūlymo galima sukurti pull request, tačiau jūsų kodas automatiškai nekeičiamas.
Ar „Codex Security“ remiasi atsitiktinių duomenų testavimu arba parašais grindžiamu nuskaitymu?
Ne. „Codex Security“ naudoja kalbos modelio protavimą, skaičiavimus testavimo metu, įrankius ir didelį kontekstą, o ne atsitiktinių duomenų testavimą ar parašais grindžiamą nuskaitymą.
Ar galiu peržiūrėti arba redaguoti grėsmių modelį?
Taip. Grėsmių modelį galima peržiūrėti ir redaguoti, todėl komandos gali patikrinti, kaip „Codex Security“ supranta programą, ir pritaikyti prielaidas savo aplinkai.
Ką reiškia patvirtinimas?
Patvirtinimas – tai etapas, kai „Codex Security“ bando atkurti galimą pažeidžiamumą izoliuotoje aplinkoje prieš apie jį pranešdama. Taip siekiama sumažinti klaidingai teigiamų rezultatų skaičių ir užtikrinti, kad radiniai būtų reikšmingi.
Kas nutinka patvirtinus radinį?
Patvirtinusi radinį, „Codex Security“ pasiūlo pagrindinę priežastį pašalinančią pataisą, iš kurios galima sukurti peržiūrai skirtą pull request.