Улучшение модели угроз Cloud
Обновите модель угроз отслеживаемого репозитория, если в созданной версии не учтены предположения о безопасности или контекст развёртывания. Это руководство относится к Codex Security Cloud. О локальной политике плагина см. раздел Настройка сканирования.
Что такое модель угроз
Модель угроз — это краткое описание работы вашего репозитория с точки зрения безопасности. Codex Security создаёт первый черновик на основе кода и использует его, чтобы направлять последующие сканирования коммитов и определять приоритеты выявленных проблем.
Модель угроз описывает:
- Точки входа и тех, кто может передавать в них входные данные
- Границы доверия и предположения об аутентификации или авторизации
- Конфиденциальные данные и привилегированные действия
- Области, требующие особого внимания
Например:
Публичный API учётных записей принимает JSON-запросы и загружаемые файлы от аутентифицированных пользователей. Пользователи могут изменять только учётные записи своего арендатора. Сервис идентификации аутентифицирует вызывающую сторону, но каждый обработчик должен проверять доступ к арендатору. Изменения платёжных данных проходят через привилегированный внутренний сервис. Приоритетны отсутствующие проверки арендатора и пути загрузки файлов, через которые можно получить доступ к этому сервису.
Укажите предположения, в которых нет уверенности. Например, не описывайте конечную точку как исключительно внутреннюю, если это не соответствует развёртыванию, которое вы хотите оценить.
Редактирование модели угроз
- Откройте плагин Codex Security Cloud. См. раздел Настройка Cloud, если вы ещё не установили его или не настроили мониторинг коммитов.
- Откройте Репозитории и выберите отслеживаемый репозиторий.
- Откройте Настройки мониторинга.
- Отредактируйте Модель угроз, затем выберите Сохранить.
Изменения применяются к последующим сканированиям.
Пересматривайте модель после изменений в аутентификации, границах арендаторов или доступных извне сервисах. Отделяйте факты о развёртывании от приоритетов сканирования.