Mejorar el modelo de amenazas de Cloud
Actualiza el modelo de amenazas de un repositorio supervisado cuando la versión generada omita supuestos de seguridad o contexto de implementación. Esta guía se aplica a Codex Security Cloud. Para conocer la política del plugin local, consulta Configurar el análisis.
Qué es un modelo de amenazas
Un modelo de amenazas es un breve resumen de seguridad sobre cómo funciona tu repositorio. Codex Security crea el primer borrador a partir del código y lo usa para orientar los futuros análisis de commits y priorizar los hallazgos.
Un modelo de amenazas describe:
- Los puntos de entrada y quién puede proporcionarles datos
- Los límites de confianza y los supuestos de autenticación o autorización
- Los datos sensibles y las acciones privilegiadas
- Las áreas que requieren especial atención
Por ejemplo:
La API pública de cuentas acepta solicitudes JSON y cargas de archivos de usuarios autenticados. Los usuarios solo pueden modificar cuentas de su propio inquilino. El servicio de identidad autentica a quien realiza la llamada, pero cada controlador debe comprobar el acceso al inquilino. Los cambios de facturación pasan por un servicio interno privilegiado. Priorice las comprobaciones de inquilino ausentes y las rutas de carga que puedan acceder a ese servicio.
Identifica los supuestos inciertos. Por ejemplo, no describas un endpoint como exclusivamente interno a menos que sea así en la implementación que quieres evaluar.
Editar el modelo de amenazas
- Abre el plugin Codex Security Cloud. Consulta Configuración de Cloud si no lo has instalado o no has configurado la supervisión de commits.
- Abre Repositorios y selecciona el repositorio supervisado.
- Abre Configuración de supervisión.
- Edite Modelo de amenazas y selecciona Guardar.
Los cambios se aplican a los análisis futuros.
Revisa el modelo después de realizar cambios en la autenticación, los límites entre inquilinos o los servicios expuestos. Mantén los hechos sobre la implementación separados de las prioridades del análisis.