Melhorar o modelo de ameaças do Cloud
Atualize o modelo de ameaças de um repositório monitorizado quando a versão gerada omitir pressupostos de segurança ou contexto de implementação. Este guia aplica-se ao Codex Security Cloud. Para a política do plugin local, consulte Configurar a análise.
O que é um modelo de ameaças
Um modelo de ameaças é um breve resumo de segurança sobre o funcionamento do seu repositório. O Codex Security cria o primeiro rascunho a partir do código e utiliza-o para orientar futuras análises de commits e priorizar os problemas detetados.
Um modelo de ameaças descreve:
- Pontos de entrada e quem lhes pode fornecer dados
- Limites de confiança e pressupostos de autenticação ou autorização
- Dados sensíveis e ações privilegiadas
- Áreas que exigem atenção especial
Por exemplo:
A API pública de contas aceita pedidos JSON e carregamentos de ficheiros de utilizadores autenticados. Os utilizadores só podem alterar contas do seu próprio inquilino. O serviço de identidade autentica o autor do pedido, mas cada processador tem de verificar o acesso ao inquilino. As alterações de faturação passam por um serviço interno privilegiado. Dê prioridade à ausência de verificações de inquilino e aos percursos de carregamento que podem chegar a esse serviço.
Identifique os pressupostos incertos. Por exemplo, não descreva um endpoint como exclusivamente interno, a menos que isso corresponda à implementação que pretende avaliar.
Editar o modelo de ameaças
- Abra o plugin Codex Security Cloud. Consulte Configuração do Cloud se ainda não o tiver instalado ou configurado a monitorização de commits.
- Abra Repositórios e selecione o repositório monitorizado.
- Abra Definições de monitorização.
- Edite Modelo de ameaças e, em seguida, selecione Guardar.
As alterações aplicam-se a análises futuras.
Reveja o modelo após alterações à autenticação, aos limites dos inquilinos ou aos serviços expostos. Mantenha os factos sobre a implementação separados das prioridades da análise.