Codex Security është një pamje paraprake kërkimore e disponueshme për përdoruesit e ChatGPT Enterprise, Edu, Business dhe Pro. Ai i ndihmon ekipet të identifikojnë, vërtetojnë dhe korrigjojnë cenueshmëritë në kod. Ai është projektuar të funksionojë më shumë si një studiues sigurie sesa si skaner tradicional: lexon kodin, ekzekuton teste, eksploron shtigje realiste sulmi dhe propozon arnime që ekipet mund t’i shqyrtojnë në rrjedhën e tyre normale të punës.
Përmbledhje
Sot, Codex Security lidhet drejtpërdrejt me depot e GitHub. Pasi të aktivizoni një depo, ai ndërton një model kërcënimi specifik për bazën e kodit, skanon historikun e depos, vërteton cenueshmëritë e mundshme në një mjedis të izoluar dhe shfaq rregullime të propozuara për shqyrtim nga njeriu.
Codex Security është ndërtuar rreth tri fazave: identifikim, vërtetim dhe korrigjim. Gjatë identifikimit, ai analizon depon dhe eksploron shtigje realiste sulmi. Gjatë vërtetimit, ai përpiqet të riprodhojë çdo problem për të konfirmuar se është real. Gjatë korrigjimit, ai gjeneron një arnim konkret që ekipet mund ta shqyrtojnë dhe ta kthejnë në një kërkesë pull.
Si funksionon Codex Security
Kur Codex Security lidhet me një depo, ai skanon commit-et në rend të kundërt kronologjik dhe ndërton një model kërcënimi specifik për bazën e kodit. Ky model kap pikat hyrëse të sulmuesit, kufijtë e besimit, të dhënat e ndjeshme dhe shtigjet e kodit me ndikim të lartë, të cilat Codex i përdor për të fokusuar analizën në skenarë realistë sulmi. Ekipet mund ta inspektojnë dhe redaktojnë modelin e kërcënimit, që ai të pasqyrojë supozimet e tyre reale të vendosjes.
Codex Security ndjek një rrjedhë pune korrigjimi me cikël të mbyllur:
Skanoni depon: Codex lidhet me depon tuaj në GitHub, analizon bazën e kodit dhe ndërton një model kërcënimi nga depoja dhe historiku i commit-eve.
Zbuloni cenueshmëritë: Duke përdorur atë model kërcënimi, Codex eksploron shtigje realiste kodi dhe identifikon cenueshmëri të mundshme.
Vërtetoni në një sandbox: Codex ekzekuton një vërtetues të automatizuar në një mjedis të izoluar për të riprodhuar problemin, për të kapur detajet e ekzekutimit dhe për të konfirmuar shfrytëzueshmërinë përpara se ta shfaqë gjetjen.
Gjeneroni një arnim: Për cenueshmëritë e vërtetuara, Codex prodhon një sugjerim minimal arnimit që trajton shkakun rrënjësor.
Shqyrtim nga njeriu dhe kërkesë pull: Arnimi nuk e modifikon automatikisht kodin tuaj. Ai shfaqet për shqyrtim nga njeriu dhe mund të kthehet në një kërkesë pull për rrjedhën tuaj normale të punës.
Rivërtetoni pas korrigjimit: Pasi një problem i konfirmuar të jetë arnuar dhe bashkuar, Codex mund ta rivërtetojë rregullimin, duke mbyllur ciklin nga zbulimi te korrigjimi.
Për çdo gjetje, Codex Security mund të prodhojë analizë të shtegut të sulmit që tregon si hyrja e kontrolluar nga sulmuesi mund të lëvizë nga një pikë hyrëse drejt një rezultati të ndjeshëm. Ai e vlerëson atë shteg sipas gjasës dhe ndikimit dhe i bën të dukshme supozimet themelore, gjë që i ndihmon ekipet të prioritizojnë rreziqet realiste ndaj sinjalizimeve të izoluara.
Përpara se të shfaqë një gjetje, Codex Security përpiqet ta riprodhojë atë në një mjedis të izoluar. Vërtetuesi regjistron rezultatet e riprodhimit, detajet e ekzekutimit dhe artefaktet e provës së konceptit, në mënyrë që ekipet të fokusohen te gjetjet që janë treguar realisht se funksionojnë.
Për gjetjet e vërtetuara, Codex Security propozon një arnim minimal që trajton shkakun rrënjësor. Ai nuk e modifikon automatikisht kodin tuaj. Në vend të kësaj, arnimi shfaqet për shqyrtim nga njeriu dhe mund të kthehet në një kërkesë pull në rrjedhën tuaj ekzistuese të punës.
Filloni
Shkoni te Codex Security.
Lidhni dhe aktivizoni depot e GitHub që dëshironi të skanojë Codex Security.
Prisni që skanimi fillestar të përfundojë. Codex Security fillimisht ndërton një model kërcënimi për projektin dhe skanon historikun e depos për cenueshmëri ekzistuese. Kjo mund të zgjasë më shumë për projekte të mëdha. Skanimet e kodit të ri janë më të shpejta.
Shqyrtoni gjetjet, detajet e vërtetimit dhe arnimeve të propozuara.
Kontrollet e aksesit të bazuara në role (RBAC)
Për hapësirat e punës Enterprise dhe Edu, administratorët mund të menaxhojnë aksesin në Codex Security te lejet e hapësirës së punës. Codex Security kërkon që si aksesi në Codex Cloud, ashtu edhe aksesi në Codex Security, të jenë të aktivizuara për hapësirën e punës. Aksesi mund të kufizohet edhe në role ose grupe specifike përmes RBAC, duke përfshirë grupet e sinkronizuara me SCIM. Për t’u lejuar anëtarëve të menaxhojnë konfigurimet e skanimit të Codex Security, aktivizoni gjithashtu lejen e administratorit të Codex Security për rolin ose grupin përkatës.
Për të përditësuar lejet e hapësirës suaj të punës:
Në ChatGPT, zgjidhni ikonën e profilit tuaj, më pas zgjidhni Cilësimet e hapësirës së punës > Lejet për të hapur lejet e hapësirës së punës.
Lëvizni poshtë te Codex Cloud.
Sigurohuni që aksesi në Codex Cloud të jetë i aktivizuar.
Aktivizoni ose çaktivizoni aksesin duke ndërruar Lejo anëtarët të përdorin Codex Security.
Nëse roli ose grupi duhet të menaxhojë konfigurimet e skanimit, aktivizoni gjithashtu Lejo anëtarët të administrojnë Codex Security.
Mësoni më shumë rreth kontrolleve të aksesit të bazuara në role në hapësirën tuaj të punës ChatGPT.
Praktikat më të mira
Filloni me një grup të vogël deposh dhe një grup të dedikuar shqyrtuesish. Rekomandojmë fillimisht një shtrirje të fokusuar, sidomos ndërsa futja në përdorim dhe ndarja e cenueshmërive janë ende relativisht manuale.
Përmirësoni modelin e kërcënimit teksa mësoni. Përditësimet e vogla të modelit mund të përmirësojnë kontekstin dhe t’i bëjnë gjetjet më të sakta me kalimin e kohës.
Nëse sot nuk përdorni GitHub Cloud, merrni parasysh të filloni me depo me rrezik më të ulët ose jo në prodhim për vlerësim. Kjo mund t’i ndihmojë ekipet të krijojnë besim te rrjedha e punës përpara adoptimit më të gjerë.
Shqyrtoni PR-të e arnimeve të gjeneruara me procesin tuaj normal të shqyrtimit. Rekomandojmë gjithashtu përdorimin e Codex Code Review në PR-të e Codex Security, që korrigjimi të mos sjellë regresione.
Pyetjet e shpeshta
A e ndryshon automatikisht Codex Security kodin tim?
Jo. Codex Security propozon një arnim për shqyrtim nga njeriu. Ky propozim mund të kthehet në një kërkesë pull, por nuk e modifikon automatikisht kodin tuaj.
A mbështetet Codex Security te fuzzing ose skanimi i bazuar në nënshkrime?
Jo. Codex Security përdor arsyetim të modeleve gjuhësore, llogaritje gjatë testimit, përdorim mjetesh dhe kontekst të madh, në vend të fuzzing ose skanimit të bazuar në nënshkrime.
A mund ta inspektoj ose modifikoj modelin e kërcënimit?
Po. Modeli i kërcënimit është i dukshëm dhe i redaktueshëm, kështu që ekipet mund të inspektojnë si e kupton Codex Security aplikacionin dhe të përditësojnë supozimet që të përputhen me mjedisin e tyre.
Çfarë do të thotë vërtetim?
Vërtetimi është hapi ku Codex Security përpiqet të riprodhojë një cenueshmëri të mundshme në një mjedis të izoluar përpara se ta shfaqë atë. Kjo synon të ulë pozitivët e rremë dhe t’i mbajë gjetjet me sinjal të lartë.
Çfarë ndodh pasi një gjetje vërtetohet?
Pas vërtetimit, Codex Security propozon një arnim që trajton shkakun rrënjësor dhe mund të kthehet në një kërkesë pull për shqyrtim.