Birikmiş işleri önceliklendirme
Mevcut güvenlik bulgularını bir depoya göre inceleyin ve takip çalışmalarını sıralayın.
Mevcut güvenlik bulgularını geçerli depoya göre incelemek için $codex-security:triage-finding kullanın.
Bu iş akışı salt okunur statik analiz gerçekleştirir: Codex, her bulguyu kanıtlanmamış
bir iddia olarak ele alır ve kodu çalıştırmadan depo kanıtlarını inceler.
Bu iş akışını, değerlendirmek istediğiniz depoyla kapsamlandırılmış bir Codex projesinden çalıştırın. Codex, deponun kaynak kodunu okuyabilmelidir. Jira ve Linear bağlayıcıları bulgu verilerini sağlayabilir; GitHub bulguları ise kimliği doğrulanmış GitHub REST erişimi gerektirir. Bunların hiçbiri kaynak koduna erişimin yerini tutmaz.
Bu işlem; kod derleyebilen veya çalıştırabilen,
bir test ya da kavram kanıtı oluşturabilen veya bir bulguyu yeniden üretmek ya da çürütmek için gerçek bir arayüzü
kullanabilen $codex-security:validation işleminden farklıdır. Mevcut bulgu listesini
sınıflandırmak ve sıralamak için ön değerlendirmeyi kullanın. Statik kanıtların belirsiz bıraktığı bir bulguyu
çalışma zamanı kanıtları açıklığa kavuşturabilecekse doğrulamayı kullanın.
Önceliklendirilecek bulguları seçme
Şu kaynaklardan tek bir bulgu veya bir koleksiyon sağlayabilirsiniz:
| Kaynak | Sağlanacak bilgiler | Gereksinimler |
|---|---|---|
| Yapıştırılan veya yerel bulgular | SARIF sonuçları, bir CVE veya GHSA, bir güvenlik duyurusu, bir tarayıcı kaydı, bir hata ödülü raporu, bir Codex Security bulgu çıktısı veya doğal dille ifade edilmiş bir güvenlik açığı iddiası. | Bağlayıcı gerekmez. |
| Jira veya Linear | Güvenlik veya güvenlik açığı kayıtlarının tam URL'leri ya da tanımlayıcıları, Jira JQL veya bir Linear ekibi, projesi ya da arama ifadesi. Codex, ön değerlendirmeden önce seçilen kayıtların içeriğini alır. | Okuma erişimi olan Atlassian Rovo üzerinden Jira veya Linear. |
| GitHub | Bir depo ve bir bulgu kaynağı: kod taraması, Dependabot güvenlik açıkları ve kötü amaçlı yazılımlar, güvenlik duyuruları ve özel güvenlik açığı raporları veya tüm kaynaklar. Depo belirtmezseniz Codex, varsa geçerli Codex projesine bağlı GitHub deposunu kullanır. GitHub Issues varsayılan olarak dahil edilmez. Belirli bir kayıt sağlayın veya açıkça GitHub Issues isteyin. |
Seçilen depoyu ve bulgu türünü okuma iznine sahip, gh auth token, GH_TOKEN veya GITHUB_TOKEN gibi kimliği doğrulanmış GitHub REST erişimi. |
Codex, sağlanan her bulgu için giriş sırasına göre bir sonuç tutar; böylece her kaynak bulgu izlenebilir kalır. Yinelenen gibi görünen bulguları birleştirmez veya kaldırmaz.
Salt okunur önceliklendirme çalıştırma
Yapıştırılan bulgular veya yerel yapıtlar için şöyle bir istem gönderin:
Use $codex-security:triage-finding to triage these existing security findings against this repository:
[Paste the findings or provide the artifact path.]Jira veya Linear sorunları için sorun kümesini belirtin ve kaynak sistemi salt okunur tutun:
Use $codex-security:triage-finding to import and triage the security findings from [Jira or Linear issue URLs, identifiers, or query] against this repository.
Do not change the source issues.GitHub bulguları için depoyu ve kaynağı belirtin:
Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from [owner/repository] against this repository.Geçerli Codex projesine bağlı GitHub deposunu kullanmak için yalnızca bulgu kaynağını belirtin:
Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from GitHub against this repository. Use the GitHub repository attached to the current Codex project.Codex, mevcut kaynak kodunu ve geçerli SECURITY.md politikasını kontrol eder, ardından
girdi olarak sağlanan her bulgu için bir karar döndürür. İddiayı destekleyen ve
çürüten kanıtları, yanıtlanmamış sorularla birlikte kaydeder.
Sonuçları inceleme
| Hüküm | Anlamı |
|---|---|
confirmed |
Depo kanıtları, savunmasız yolun belirtilen ön koşullar altında erişilebilir olduğunu ve desteklenen bir güvenlik sınırını aştığını gösterir. |
not_actionable |
Depo kanıtları; etkilenmeyen sürüm, erişilemeyen yol, etkili koruma veya dağıtılmayan yüzey göstererek iddiayı geçersiz kılar. |
needs_review |
Gerekli bilgiler eksik, belirsiz ya da çalışma zamanına, ortama veya ilkeye bağımlı olduğundan depo kanıtları karar vermek için yeterli değildir. |
Hangi confirmed bulguların önce düzeltileceğine ve hangi
needs_review bulguların önce araştırılacağına karar vermek için sıralamaları kullanın. Her grup ayrı sıralanır.
Kararın gerekçesini, etkilenen kod ve saldırganın sağlaması gereken
ön koşullarla birlikte okuyun. Sıralamaya göre harekete geçmeden önce kanıtları iddia ve yanıtlanmamış sorular
ışığında kontrol edin. Burada confirmed, uygulama çalıştırılarak yeniden üretilmiş değil,
statik depo kanıtlarıyla desteklenmiş anlamına gelir.
Ön değerlendirme sonuçlarını inceledikten sonra Codex'ten güncellemesini istemediğiniz sürece Jira, Linear ve diğer bulgu listesi kayıtları değişmeden kalır.
Sonraki adımlar
confirmed: Bir kişi bulgunun giderilmesini kabul ettikten sonra, bulguyu düzeltmek ve doğrulamak için$codex-security:fix-findingkullanın. Ön değerlendirme, prompt olarak kullanılmaya hazır bir devir metni hazırlar ancak beceriyi otomatik olarak çağırmaz.needs_review: Kod çalıştırmak kanıt eksikliğini giderebilecekse, bulguyu çalışan kod üzerinde test etmek için$codex-security:validationkullanın. Ön değerlendirme sonucundaki bulgu iddiasını, etkilenen konumları, ön koşulları, statik kanıtları ve kanıt eksikliklerini iletin:
Use $codex-security:validation to dynamically validate finding [triage item ID or source ID] from the backlog triage result. Reproduce or disprove the finding, record what you tested, and list any remaining uncertainty.Ön değerlendirmeden farklı olarak doğrulama, kod derleyebilir veya çalıştırabilir, bir test ya da kavram kanıtı oluşturabilir veya gerçek bir arayüzü kullanabilir. Yürütme denetimleri için Codex onay ve güvenlik politikalarına bakın.
needs_review: Bulgu ürün politikasına veya dağıtım bağlamına bağlıysa kodu değiştirmeden önce listelenen açık soruları yanıtlayın.not_actionable: Kanıtları ön değerlendirme kaydınızla birlikte saklayın. Codex, kaynak kaydı otomatik olarak kapatmaz veya güncellemez.- Sağlanan bulgu listesinin ötesindeki güvenlik açıklarını aramak için güvenlik taraması çalıştırın.