Codex Security ir izpētes priekšskatījums, kas pieejams ChatGPT Enterprise, Edu, Business un Pro lietotājiem. Tas palīdz komandām identificēt, validēt un novērst ievainojamības kodā. Tas ir izstrādāts, lai darbotos vairāk kā drošības pētnieks, nevis tradicionāls skeneris: tas lasa kodu, izpilda testus, pēta reālistiskus uzbrukumu ceļus un piedāvā ielāpus, ko komandas var pārskatīt savā ierastajā darbplūsmā.
Pārskats
Codex Security izveido savienojumu ar GitHub repozitorijiem un veido jūsu koda bāzei pielāgotu apdraudējumu modeli. Varat skenēt visu repozitoriju vai atsevišķus komitus. Codex Security izpēta iespējamās ievainojamības, mēģina apstiprināt to esamību izolētā vidē un piedāvā labojumus jūsu komandas pārskatīšanai.
Kā darbojas Codex Security
Codex Security veic analīzi, balstoties uz apdraudējumu modeli. Modelī ir aprakstīti uzbrucēja iespējamie piekļuves punkti, uzticamības robežas, sensitīvie dati un būtiskie koda izpildes ceļi. Varat to pārskatīt un rediģēt, lai tas atbilstu jūsu lietotnes izvietošanas veidam. Visa repozitorija skenēšanā tiek novērtēta koda bāze, savukārt komitu skenēšanā tiek pārbaudītas repozitorijā veiktās izmaiņas.
Skenēšanas palaišana
Izvēlieties visa repozitorija vai komitu skenēšanu un uzgaidiet, līdz skenēšana ir pabeigta. Codex Security izmanto repozitorija apdraudējumu modeli, lai izpētītu iespējamās ievainojamības.
Lietošana par maksu
Maksa par Codex Security Cloud lietošanu tiek aprēķināta pēc tekstvienību skaita. Esošie klienti saņem paziņojumu, un pirms maksas lietošanas sākuma viņiem tai ir jāpiekrīt.
Ja skenēšanai nav pieejamu līdzekļu, tā tiek apturēta. Pirms turpināt skenēšanu par maksu, pārskatiet paziņojumu par norēķiniem un pieejamos līdzekļus.
Piekļuve Daybreak Blue
Codex Security Cloud iekļautā piekļuve Daybreak Blue ir pieejama tikai Cloud produktā. Tā nenodrošina piekļuvi Daybreak Blue citos Codex Security produktos vai ar API starpniecību.
Sāciet darbu
Dodieties uz Codex Security.
Pievienojiet un iespējojiet GitHub repozitorijus, kurus vēlaties, lai Codex Security skenētu.
Pagaidiet, līdz sākotnējā skenēšana ir pabeigta. Codex Security vispirms izveido projekta apdraudējumu modeli un skenē repozitorija vēsturi, meklējot esošas ievainojamības. Lieliem projektiem tas var aizņemt vairāk laika. Jauna koda skenēšana ir ātrāka.
Pārskatiet konstatējumus, validācijas informāciju un piedāvātos ielāpus.
Lomās balstītas piekļuves vadīklas (RBAC)
Enterprise un Edu darbvietās administratori var pārvaldīt piekļuvi Codex Security darbvietas atļaujās. Lai darbvietā izmantotu Codex Security, jābūt iespējotai gan piekļuvei Codex Cloud, gan Codex Security. Piekļuvi var arī ierobežot līdz konkrētām lomām vai grupām, izmantojot RBAC, tostarp ar SCIM sinhronizētām grupām. Lai ļautu dalībniekiem pārvaldīt Codex Security skenēšanas konfigurācijas, attiecīgajai lomai vai grupai iespējojiet arī Codex Security administratora atļauju.
Lai atjauninātu savas darbvietas atļaujas:
ChatGPT atlasiet sava profila ikonu, pēc tam atlasiet Darbvietas iestatījumi > Atļaujas, lai atvērtu darbvietas atļaujas.
Ritiniet uz leju līdz Codex Cloud.
Pārliecinieties, ka piekļuve Codex Cloud ir iespējota.
Iespējojiet vai atspējojiet piekļuvi, pārslēdzot Atļaut dalībniekiem izmantot Codex Security.
Ja lomai vai grupai jāpārvalda skenēšanas konfigurācijas, iespējojiet arī Atļaut dalībniekiem administrēt Codex Security.
Uzziniet vairāk par lomās balstītām piekļuves vadīklām savā ChatGPT darbvietā.
Paraugprakse
Sāciet ar nelielu repozitoriju kopu un īpašu pārskatītāju grupu. Sākumā iesakām mērķētu ieviešanu, jo īpaši laikā, kad ievade darbā un ievainojamību kopīgošana vēl ir salīdzinoši manuāla.
Pilnveidojiet apdraudējumu modeli, apgūstot jauno. Nelieli modeļa atjauninājumi laika gaitā var uzlabot kontekstu un padarīt konstatējumus precīzākus.
Ja pašlaik neizmantojat GitHub Cloud, izvērtēšanai apsveriet iespēju sākt ar zemāka riska vai neprodukcijas repozitorijiem. Tas var palīdzēt komandām iegūt pārliecību par darbplūsmu pirms plašākas ieviešanas.
Pārskatiet ģenerēto ielāpu atgādāšanas pieprasījumus ar savu ierasto pārskatīšanas procesu. Iesakām arī izmantot Codex Code Review Codex Security atgādāšanas pieprasījumiem, lai novēršana neieviestu regresijas.
BUJ
Vai Codex Security automātiski maina manu kodu?
Nē. Codex Security ierosina labojumu, kas jāpārskata cilvēkam. Šo priekšlikumu var pārvērst par pull request, taču tas automātiski nemaina jūsu kodu.
Vai Codex Security izmanto fuzzing vai uz parakstiem balstītu skenēšanu?
Nē. Codex Security izmanto valodas modeļa spriestspēju, skaitļošanu testēšanas laikā, rīkus un plašu kontekstu, nevis fuzzing vai uz parakstiem balstītu skenēšanu.
Vai varu apskatīt vai rediģēt apdraudējumu modeli?
Jā. Apdraudējumu modelis ir apskatāms un rediģējams, tāpēc komandas var pārbaudīt, kā Codex Security izprot lietojumprogrammu, un pielāgot pieņēmumus savai videi.
Ko nozīmē validēšana?
Validēšanas posmā Codex Security mēģina izolētā vidē atkārtot iespējamo ievainojamību, pirms par to ziņo. Tā paredzēta, lai mazinātu kļūdaini pozitīvu rezultātu skaitu un izceltu būtiskākos konstatējumus.
Kas notiek pēc konstatējuma validēšanas?
Pēc validēšanas Codex Security ierosina labojumu, kas novērš pamatcēloni un ko var pārvērst par pull request pārskatīšanai.