Dokumentasi ChatGPT
Bahasa Indonesia
Hubungi kami goolvyouyou@gmail.com

Triase backlog

Tinjau temuan keamanan yang ada terhadap repositori dan urutkan pekerjaan tindak lanjut.

Gunakan $codex-security:triage-finding untuk meninjau temuan keamanan yang ada terhadap repositori saat ini. Alur kerja ini melakukan analisis statis hanya-baca: Codex memperlakukan setiap temuan sebagai klaim yang belum terbukti dan memeriksa bukti repositori tanpa mengeksekusi kode.

Jalankan alur kerja ini dari proyek Codex yang cakupannya ditetapkan ke repositori yang ingin Anda nilai. Codex harus dapat membaca kode sumber repositori. Konektor Jira dan Linear dapat menyediakan data temuan, sedangkan temuan GitHub memerlukan akses GitHub REST yang terautentikasi. Keduanya tidak menggantikan akses ke kode sumber.

Ini berbeda dari $codex-security:validation, yang dapat membangun atau menjalankan kode, membuat pengujian atau bukti konsep, atau menggunakan antarmuka nyata untuk mereproduksi atau membantah temuan. Gunakan triase untuk mengklasifikasikan dan memeringkat backlog yang ada. Gunakan validasi saat bukti waktu proses dapat memperjelas temuan yang masih belum pasti berdasarkan bukti statis.

Pilih temuan yang akan ditriase

Anda dapat menyediakan satu temuan atau kumpulan temuan dari sumber berikut:

Sumber Yang perlu disediakan Persyaratan
Temuan yang ditempel atau lokal Hasil SARIF, CVE atau GHSA, advisori, tiket pemindai, laporan bug bounty, artefak temuan Codex Security, atau klaim kerentanan dalam bahasa sehari-hari. Tidak memerlukan konektor.
Jira atau Linear URL atau pengenal isu keamanan atau kerentanan yang spesifik, Jira JQL, atau tim, proyek, atau frasa pencarian Linear. Codex mengambil konten isu yang dipilih sebelum triase. Jira melalui Atlassian Rovo atau Linear dengan akses baca.
GitHub Repositori dan satu sumber temuan: pemindaian kode, kerentanan dan malware Dependabot, advisori keamanan dan laporan kerentanan privat, atau semua sumber. Jika Anda tidak menentukan repositori, Codex menggunakan repositori GitHub yang terhubung ke proyek Codex saat ini jika tersedia. GitHub Issues tidak disertakan secara default. Berikan isu tertentu atau minta GitHub Issues secara eksplisit. Akses GitHub REST terautentikasi, seperti gh auth token, GH_TOKEN, atau GITHUB_TOKEN, dengan izin untuk membaca repositori dan jenis temuan yang dipilih.

Codex menyimpan satu hasil untuk setiap temuan yang diberikan, sesuai urutan input, sehingga setiap temuan sumber tetap dapat dilacak. Codex tidak menggabungkan atau menghapus temuan yang tampak seperti duplikat.

Jalankan triase hanya-baca

Untuk temuan yang ditempel atau artefak lokal, kirim prompt seperti:

Use $codex-security:triage-finding to triage these existing security findings against this repository:

[Paste the findings or provide the artifact path.]

Untuk masalah Jira atau Linear, tentukan kumpulan masalah dan pertahankan sistem sumber sebagai hanya-baca:

Use $codex-security:triage-finding to import and triage the security findings from [Jira or Linear issue URLs, identifiers, or query] against this repository.
Do not change the source issues.

Untuk temuan GitHub, sebutkan repositori dan sumbernya:

Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from [owner/repository] against this repository.

Untuk menggunakan repositori GitHub yang dilampirkan ke proyek Codex saat ini, tentukan hanya sumber temuannya:

Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from GitHub against this repository. Use the GitHub repository attached to the current Codex project.

Codex memeriksa kode sumber saat ini dan kebijakan SECURITY.md yang berlaku, lalu memberikan keputusan untuk setiap temuan masukan. Codex mencatat bukti yang mendukung maupun menyangkal klaim, beserta pertanyaan yang belum terjawab.

Tinjau hasil

Putusan Artinya
confirmed Bukti repositori menunjukkan bahwa jalur rentan dapat dijangkau berdasarkan prasyarat yang disebutkan dan melintasi batas keamanan yang didukung.
not_actionable Bukti repositori menyangkal klaim, misalnya dengan menunjukkan versi yang tidak terdampak, jalur yang tidak dapat dijangkau, perlindungan yang efektif, atau area yang tidak didistribusikan.
needs_review Bukti repositori tidak cukup untuk mengambil keputusan karena informasi yang diperlukan tidak ada, ambigu, bergantung pada runtime, bergantung pada lingkungan, atau bergantung pada kebijakan.

Gunakan peringkat untuk menentukan temuan confirmed yang perlu diperbaiki terlebih dahulu dan temuan needs_review yang perlu diselidiki terlebih dahulu. Setiap kelompok diperingkat secara terpisah.

Baca alasan keputusan bersama kode yang terdampak dan prasyarat penyerang. Periksa bukti terhadap klaim serta pertanyaan yang masih terbuka sebelum bertindak berdasarkan peringkat. Di sini, confirmed berarti didukung oleh bukti statis dari repositori, bukan direproduksi dengan menjalankan aplikasi.

Catatan Jira, Linear, dan backlog lainnya tetap tidak berubah kecuali Anda meminta Codex memperbaruinya setelah meninjau hasil triase.

Langkah berikutnya

  • confirmed: Setelah seseorang menerima temuan untuk diremediasi, gunakan $codex-security:fix-finding untuk memperbaiki dan memverifikasinya. Triase menyiapkan materi serah terima yang siap dijadikan prompt, tetapi tidak memanggil skill secara otomatis.
  • needs_review: Jika menjalankan kode dapat menutup kesenjangan pembuktian, gunakan $codex-security:validation untuk menguji temuan terhadap kode yang berjalan. Sertakan klaim temuan, lokasi yang terdampak, prasyarat, bukti statis, dan kesenjangan pembuktian dari hasil triase:
  Use $codex-security:validation to dynamically validate finding [triage item ID or source ID] from the backlog triage result. Reproduce or disprove the finding, record what you tested, and list any remaining uncertainty.

Berbeda dengan triase, validasi dapat membangun atau menjalankan kode, membuat pengujian atau bukti konsep, atau menggunakan antarmuka nyata. Lihat Kebijakan persetujuan dan keamanan Codex untuk kontrol eksekusi.

  • needs_review: Jika temuan bergantung pada kebijakan produk atau konteks deployment, jawab pertanyaan terbuka yang tercantum sebelum mengubah kode.
  • not_actionable: Simpan bukti bersama catatan triase Anda. Codex tidak menutup atau memperbarui tiket sumber secara otomatis.
  • Untuk mencari kerentanan di luar backlog yang disediakan, jalankan pemindaian keamanan.