Sempurnakan model ancaman Cloud
Perbarui model ancaman repositori yang dipantau jika versi yang dihasilkan belum mencakup asumsi keamanan atau konteks penerapan. Panduan ini berlaku untuk Codex Security Cloud. Untuk kebijakan plugin lokal, lihat Konfigurasikan pemindaian.
Apa itu model ancaman
Model ancaman adalah ringkasan singkat mengenai keamanan yang menjelaskan cara kerja repositori Anda. Codex Security membuat draf pertama dari kode dan menggunakannya untuk memandu pemindaian commit berikutnya serta menentukan prioritas temuan.
Model ancaman menjelaskan:
- Titik masuk dan siapa yang dapat memberikan masukan ke titik tersebut
- Batas kepercayaan serta asumsi autentikasi atau otorisasi
- Data sensitif dan tindakan berhak istimewa
- Area yang memerlukan perhatian khusus
Contoh:
API akun publik menerima permintaan JSON dan unggahan berkas dari pengguna yang terautentikasi. Pengguna hanya boleh mengubah akun dalam tenant mereka sendiri. Layanan identitas mengautentikasi pemanggil, tetapi setiap penangan harus memeriksa akses tenant. Perubahan penagihan dilakukan melalui layanan internal berhak istimewa. Prioritaskan pemeriksaan tenant yang belum diterapkan dan jalur unggahan yang dapat menjangkau layanan tersebut.
Identifikasi asumsi yang belum pasti. Misalnya, jangan menyatakan bahwa suatu endpoint hanya untuk penggunaan internal kecuali hal tersebut benar dalam penerapan yang ingin Anda nilai.
Edit model ancaman
- Buka plugin Codex Security Cloud. Lihat Penyiapan Cloud jika Anda belum menginstalnya atau mengonfigurasi pemantauan commit.
- Buka Repositori dan pilih repositori yang dipantau.
- Buka Pengaturan pemantauan.
- Edit Model ancaman, lalu pilih Simpan.
Perubahan berlaku untuk pemindaian berikutnya.
Tinjau kembali model setelah ada perubahan pada autentikasi, batas tenant, atau layanan yang diekspos. Pisahkan fakta tentang penerapan dari prioritas pemindaian.