Cloud tehdit modelini iyileştirin
Oluşturulan sürüm güvenlik varsayımlarını veya dağıtım bağlamını içermiyorsa izlenen deponun tehdit modelini güncelleyin. Bu kılavuz Codex Security Cloud için geçerlidir. Yerel eklenti politikası için Taramayı yapılandırın bölümüne bakın.
Tehdit modeli nedir?
Tehdit modeli, deponuzun nasıl çalıştığını güvenlik açısından kısaca özetler. Codex Security, ilk taslağı koddan oluşturur ve bu taslağı gelecekteki commit taramalarına yön vermek ve bulguları önceliklendirmek için kullanır.
Bir tehdit modeli şunları açıklar:
- Giriş noktaları ve bunlara kimlerin girdi sağlayabileceği
- Güven sınırları ve kimlik doğrulama veya yetkilendirme varsayımları
- Hassas veriler ve ayrıcalıklı işlemler
- Özellikle dikkat edilmesi gereken alanlar
Örneğin:
Herkese açık hesap API'si, kimliği doğrulanmış kullanıcıların JSON isteklerini ve dosya yüklemelerini kabul eder. Kullanıcılar yalnızca kendi kiracılarındaki hesapları değiştirebilir. Kimlik hizmeti çağrıyı yapanın kimliğini doğrular, ancak her işleyici kiracı erişimini kontrol etmelidir. Faturalandırma değişiklikleri ayrıcalıklı bir dahili hizmet üzerinden yapılır. Eksik kiracı kontrollerine ve bu hizmete ulaşabilen yükleme yollarına öncelik verin.
Belirsiz varsayımları belirleyin. Örneğin, değerlendirilmesini istediğiniz dağıtımda gerçekten böyle değilse bir uç noktayı yalnızca dahili kullanıma açık olarak tanımlamayın.
Tehdit modelini düzenleyin
- Codex Security Cloud eklentisini açın. Eklentiyi henüz yüklemediyseniz veya commit izlemesini yapılandırmadıysanız Cloud kurulumu bölümüne bakın.
- Repositories bölümünü açın ve izlenen depoyu seçin.
- Monitoring settings bölümünü açın.
- Threat model alanını düzenleyin, ardından Save seçeneğini seçin.
Değişiklikler sonraki taramalarda geçerli olur.
Kimlik doğrulama, kiracı sınırları veya dışarıya açık hizmetler değiştiğinde modeli yeniden gözden geçirin. Dağıtımla ilgili gerçekleri tarama önceliklerinden ayrı tutun.