Câu hỏi thường gặp về Codex Security cloud

Phần câu hỏi thường gặp này đề cập đến Codex Security cloud. Đối với các lượt quét cục bộ và quy trình chạy trong một tác vụ Codex, hãy xem hướng dẫn bắt đầu nhanh với plugin Codex Security.

Bắt đầu

Codex Security là gì?

Bảo mật phần mềm vẫn là một trong những vấn đề khó khăn và quan trọng nhất trong lĩnh vực kỹ thuật. Codex Security là bộ công cụ phân tích bảo mật dựa trên LLM, có khả năng kiểm tra mã nguồn và trả về các phát hiện lỗ hổng có cấu trúc, được xếp hạng cùng với các bản vá được đề xuất. Công cụ này giúp nhà phát triển và nhóm bảo mật phát hiện cũng như khắc phục vấn đề bảo mật trên quy mô lớn.

Tại sao công cụ này quan trọng?

Phần mềm là nền tảng của ngành công nghiệp và xã hội hiện đại, còn các lỗ hổng tạo ra rủi ro mang tính hệ thống. Codex Security hỗ trợ quy trình ưu tiên bên phòng thủ bằng cách liên tục xác định các vấn đề có khả năng xảy ra, xác thực chúng khi có thể và đề xuất cách khắc phục. Nhờ đó, các nhóm có thể cải thiện bảo mật mà không làm chậm quá trình phát triển.

Codex Security giải quyết vấn đề kinh doanh nào?

Codex Security rút ngắn quá trình từ một vấn đề bị nghi ngờ đến một phát hiện đã được xác nhận, có thể tái hiện, kèm bằng chứng và bản vá được đề xuất. Điều này giúp giảm khối lượng phân loại và giảm kết quả dương tính giả so với khi chỉ sử dụng các trình quét truyền thống.

Codex Security hoạt động như thế nào?

Codex Security chạy quá trình phân tích trong một container tạm thời, biệt lập và tạm thời sao chép kho lưu trữ mục tiêu. Công cụ thực hiện phân tích ở cấp độ mã và trả về các phát hiện có cấu trúc, bao gồm nội dung mô tả, tệp và vị trí, mức độ nghiêm trọng, nguyên nhân gốc rễ và biện pháp khắc phục được đề xuất.

Đối với các phát hiện có kèm bước xác minh, hệ thống thực thi các lệnh hoặc bài kiểm thử được đề xuất trong cùng sandbox, ghi lại trạng thái thành công hoặc thất bại, mã thoát, stdout, stderr, kết quả kiểm thử và mọi diff hoặc artifact được tạo, sau đó đính kèm đầu ra đó làm bằng chứng để xem xét.

Công cụ này có thay thế SAST không?

Không. Codex Security bổ trợ cho SAST. Công cụ bổ sung khả năng suy luận ngữ nghĩa dựa trên LLM và xác thực tự động, trong khi các công cụ SAST hiện có vẫn cung cấp phạm vi bao phủ rộng theo cách tất định.

Tính năng

Quy trình phân tích gồm những gì?

Codex Security tuân theo một quy trình gồm nhiều giai đoạn:

1. Phân tích xây dựng mô hình mối đe dọa cho kho lưu trữ.
2. Quét commit xem xét các commit đã hợp nhất và lịch sử kho lưu trữ để tìm những vấn đề có khả năng xảy ra.
3. Xác thực cố gắng tái hiện các lỗ hổng có khả năng tồn tại trong sandbox nhằm giảm kết quả dương tính giả.
4. Tạo bản vá tích hợp với Codex để đề xuất các bản vá mà người đánh giá có thể kiểm tra trước khi mở PR.

Công cụ phối hợp với các kỹ sư trong GitHub, Codex và các quy trình đánh giá tiêu chuẩn.

Những ngôn ngữ nào được hỗ trợ?

Codex Security không phụ thuộc vào ngôn ngữ. Trên thực tế, hiệu suất phụ thuộc vào khả năng suy luận của mô hình đối với ngôn ngữ và framework được kho lưu trữ sử dụng.

Tôi nhận được những đầu ra nào sau khi quá trình quét hoàn tất?

Bạn nhận được các phát hiện đã được xếp hạng, kèm mức độ nghiêm trọng, trạng thái xác thực và bản vá được đề xuất khi có. Các phát hiện cũng có thể bao gồm đầu ra sự cố, bằng chứng tái hiện, ngữ cảnh đường dẫn lời gọi và các chú thích liên quan.

Mã của khách hàng được cách ly như thế nào?

Mỗi tác vụ phân tích và xác thực chạy trong một container Codex tạm thời với các công cụ giới hạn theo phiên. Các artifact được trích xuất để xem xét và container sẽ bị hủy sau khi tác vụ hoàn tất.

Codex Security có tự động áp dụng bản vá không?

Không. Bản vá được đề xuất là biện pháp khắc phục được khuyến nghị. Người dùng có thể xem xét bản vá và đẩy bản vá lên GitHub dưới dạng PR từ giao diện phát hiện, nhưng Codex Security không tự động áp dụng thay đổi vào kho lưu trữ.

Có cần build dự án để quét không?

Không. Codex Security có thể tạo phát hiện từ ngữ cảnh kho lưu trữ và commit mà không cần bước biên dịch. Trong quá trình tự động xác thực, công cụ có thể thử build dự án bên trong container nếu việc đó giúp tái hiện vấn đề. Để biết chi tiết về cách thiết lập môi trường, hãy xem môi trường Codex cloud.

Codex Security giảm kết quả dương tính giả và tránh bản vá lỗi như thế nào?

Codex Security sử dụng hai giai đoạn. Trước tiên, mô hình xếp hạng các vấn đề có khả năng xảy ra. Sau đó, quá trình tự động xác thực cố gắng tái hiện từng vấn đề trong một container sạch. Những phát hiện được tái hiện thành công sẽ được đánh dấu là đã xác thực, giúp giảm kết quả dương tính giả trước khi con người xem xét.

Các lượt quét ban đầu mất bao lâu và sau đó điều gì sẽ xảy ra?

Thời gian quét ban đầu phụ thuộc vào kích thước kho lưu trữ, thời gian build và số lượng phát hiện được chuyển sang bước xác thực. Với một số kho lưu trữ, quá trình quét có thể mất vài giờ. Với các kho lưu trữ lớn hơn, quá trình này có thể mất nhiều ngày. Các lượt quét sau thường nhanh hơn vì tập trung vào commit mới và các thay đổi tăng dần.

Mô hình mối đe dọa là gì?

Mô hình mối đe dọa là ngữ cảnh bảo mật tại thời điểm quét dành cho một kho lưu trữ. Mô hình kết hợp phần tổng quan ngắn gọn về dự án với thông tin chi tiết về bề mặt tấn công, chẳng hạn như điểm vào, ranh giới tin cậy, giả định về xác thực và các thành phần rủi ro. Để biết thêm chi tiết, hãy xem Cải thiện mô hình mối đe dọa.

Mô hình mối đe dọa được tạo như thế nào?

Codex Security yêu cầu mô hình tóm tắt kiến trúc kho lưu trữ và các điểm vào liên quan đến bảo mật, phân loại loại kho lưu trữ, chạy các trình trích xuất chuyên biệt và hợp nhất kết quả thành một artifact tổng quan dự án hoặc mô hình mối đe dọa được sử dụng trong suốt quá trình quét.

Công cụ này có thay thế việc đánh giá bảo mật thủ công không?

Không. Codex Security đẩy nhanh quá trình đánh giá và giúp xếp hạng phát hiện, nhưng không thay thế việc xác thực ở cấp độ mã, kiểm tra khả năng khai thác hoặc đánh giá mối đe dọa của con người.

Tôi có thể chỉnh sửa mô hình mối đe dọa không?

Có. Codex Security tạo mô hình mối đe dọa ban đầu và bạn có thể cập nhật mô hình này khi kiến trúc, rủi ro và bối cảnh kinh doanh thay đổi. Để biết quy trình chỉnh sửa, hãy xem Cải thiện mô hình mối đe dọa.

Tôi có cần cấu hình lượt quét trước khi sử dụng tính năng lập mô hình mối đe dọa không?

Có. Hướng dẫn về mô hình mối đe dọa gắn liền với cách thức và đối tượng bạn quét, vì vậy trước tiên bạn cần cấu hình kho lưu trữ. Hãy xem Thiết lập Codex Security.

Bản vá được đề xuất chứa những gì?

Khi có thể tạo biện pháp khắc phục cho phát hiện, bản vá được đề xuất sẽ chứa một diff tối thiểu có thể áp dụng, kèm tên tệp và ngữ cảnh dòng.

Bản vá có trực tiếp sửa đổi nhánh PR của tôi không?

Không. Quy trình tạo ra một diff, tệp bản vá hoặc thay đổi được đề xuất để người bảo trì và người đánh giá kiểm tra trước khi áp dụng.

Xác thực

Tự động xác thực là gì?

Tự động xác thực là giai đoạn cố gắng tái hiện một vấn đề bị nghi ngờ trong một container biệt lập. Giai đoạn này ghi lại việc tái hiện thành công hay thất bại, đồng thời thu thập nhật ký, lệnh và các artifact liên quan làm bằng chứng.

Điều gì xảy ra nếu xác thực thất bại?

Phát hiện vẫn ở trạng thái chưa xác thực. Nhật ký và báo cáo vẫn ghi lại những gì đã được thử để kỹ sư có thể thử lại, điều tra thêm hoặc điều chỉnh các bước tái hiện.