Phân loại danh sách tồn đọng

Sử dụng $codex-security:triage-finding để rà soát các phát hiện bảo mật hiện có dựa trên kho lưu trữ hiện tại. Quy trình này thực hiện phân tích tĩnh chỉ đọc: Codex coi mỗi phát hiện là một nhận định chưa được chứng minh và kiểm tra bằng chứng trong kho lưu trữ mà không thực thi mã.

Chạy quy trình này từ một dự án Codex có phạm vi là kho lưu trữ bạn muốn đánh giá. Codex phải có khả năng đọc mã nguồn của kho lưu trữ. Các trình kết nối Jira và Linear có thể cung cấp dữ liệu phát hiện, còn phát hiện GitHub yêu cầu quyền truy cập GitHub REST đã xác thực. Không phương án nào thay thế quyền truy cập vào mã nguồn.

Ở bên trong, Codex bắt đầu từ mã hoặc thông tin phiên bản được trích dẫn. Công cụ truy vết nguồn được cho là do kẻ tấn công kiểm soát, các biện pháp kiểm soát bảo mật liên quan, điểm nhận nguy hiểm và đường dẫn có thể tiếp cận. Công cụ cũng kiểm tra bề mặt sản phẩm và ranh giới tin cậy, tìm bằng chứng mâu thuẫn và ghi lại các khoảng trống bằng chứng. Sau đó, Codex trả về một kết luận cho mỗi phát hiện và xếp hạng những phát hiện cần xử lý hoặc rà soát thêm.

Quy trình này khác với $codex-security:validation, vốn có thể build hoặc chạy mã, tạo một bài kiểm thử tập trung hoặc bằng chứng khái niệm, hay tương tác với giao diện thực để tái hiện hoặc bác bỏ một phát hiện. Hãy dùng phân loại để phân loại và xếp hạng một danh sách tồn đọng hiện có. Hãy dùng xác thực khi bằng chứng thời gian chạy có thể làm rõ một phát hiện mà bằng chứng tĩnh chưa thể kết luận.

Chọn các phát hiện cần phân loại

Bạn có thể cung cấp một phát hiện hoặc một tập hợp từ các nguồn sau:

Codex giữ lại một kết quả cho mỗi phát hiện được cung cấp theo thứ tự đầu vào để mỗi phát hiện nguồn vẫn có thể truy vết. Công cụ không hợp nhất hoặc loại bỏ các phát hiện có vẻ trùng lặp.

Chạy quy trình phân loại chỉ đọc

Đối với phát hiện được dán hoặc artifact cục bộ, hãy gửi một lời nhắc như sau:

Use $codex-security:triage-finding to triage these existing security findings against this repository:

[Paste the findings or provide the artifact path.]

Đối với các issue Jira hoặc Linear, hãy xác định tập hợp issue và giữ hệ thống nguồn ở chế độ chỉ đọc:

Use $codex-security:triage-finding to import and triage the security findings from [Jira or Linear issue URLs, identifiers, or query] against this repository.
Do not change the source issues.

Đối với phát hiện GitHub, hãy nêu kho lưu trữ và nguồn:

Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from [owner/repository] against this repository.

Để sử dụng kho lưu trữ GitHub được gắn với dự án Codex hiện tại, chỉ cần chỉ định nguồn phát hiện:

Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from GitHub against this repository. Use the GitHub repository attached to the current Codex project.

Quy trình diễn ra theo thứ tự sau:

1. Thu thập và sắp xếp các phát hiện

   Codex truy xuất mọi nội dung issue hoặc GitHub được yêu cầu, bảo toàn các mã định danh và tham chiếu nguồn, đồng thời tạo một mục phân loại cho mỗi đầu vào. Công cụ xây dựng danh sách mục đầy đủ trước khi đưa ra kết luận.

2. Xác nhận ngữ cảnh kho lưu trữ

   Codex xác định kho lưu trữ và bản sửa đổi hiện tại khi có. Công cụ đọc SECURITY.md khi tệp này hiện diện để các phiên bản được hỗ trợ, đầu vào đáng tin cậy, ranh giới sản phẩm và các bề mặt ngoài phạm vi được đưa vào đánh giá.

3. Kiểm tra bằng chứng tĩnh

   Với mỗi phát hiện, Codex truy vết nguồn được cho là do kẻ tấn công kiểm soát, biện pháp kiểm soát bảo mật liên quan, điểm nhận dễ bị tấn công, đường dẫn có thể tiếp cận và ranh giới bảo mật được hỗ trợ. Công cụ ghi lại bằng chứng ủng hộ, bằng chứng bác bỏ nhận định và các khoảng trống bằng chứng.

4. Đưa ra kết luận và thứ hạng

   Codex gán một kết luận và độ tin cậy cho mọi phát hiện. Công cụ xếp hạng các phát hiện confirmed và needs_review theo khả năng khai thác trong các hàng đợi riêng biệt.

Rà soát kết quả

Với mỗi phát hiện, hãy rà soát:

• cơ sở lý giải cho kết luận và thứ hạng
• bằng chứng ủng hộ và bằng chứng bác bỏ nhận định
• câu hỏi còn mở và các khoảng trống bằng chứng còn lại
• vị trí và thành phần bị ảnh hưởng
• bề mặt sản phẩm và mức độ tin cậy của nguồn
• bước tiếp theo được đề xuất
• phần bàn giao $codex-security:fix-finding khi phát hiện là confirmed

Quá trình phân loại hoàn tất khi mỗi phát hiện được cung cấp có một kết quả, Codex bảo toàn mã định danh nguồn của phát hiện và mọi điểm chưa chắc chắn đều được nêu rõ. Các bản ghi Jira, Linear và danh sách tồn đọng khác không thay đổi trừ khi bạn yêu cầu Codex ghi ngược sau khi rà soát kết quả phân loại.

Các bước tiếp theo

• confirmed: Sau khi một người chấp nhận phát hiện để khắc phục, hãy dùng $codex-security:fix-finding để sửa và xác minh. Quy trình phân loại chuẩn bị phần bàn giao sẵn sàng dùng làm lời nhắc nhưng không tự động gọi kỹ năng.

• needs_review: Nếu việc chạy mã có thể giải quyết khoảng trống bằng chứng, hãy dùng $codex-security:validation để thực hiện xác thực động có giới hạn. Truyền nhận định của phát hiện, vị trí bị ảnh hưởng, điều kiện tiên quyết, bằng chứng tĩnh và khoảng trống bằng chứng từ kết quả phân loại:

  Use $codex-security:validation to dynamically validate finding [triage item ID or source ID] from the backlog triage result. Use the strongest realistic, bounded method, record exactly what was tested, and preserve any remaining proof gaps.

  Khác với phân loại, quá trình xác thực có thể build hoặc chạy mã, tạo một bài kiểm thử tập trung hoặc bằng chứng khái niệm, hay tương tác với giao diện thực. Hãy rà soát các lệnh được đề xuất trước khi phê duyệt và duy trì các chính sách phê duyệt và bảo mật của Codex.

• needs_review: Nếu phát hiện phụ thuộc vào chính sách sản phẩm hoặc ngữ cảnh triển khai, hãy trả lời các câu hỏi còn mở được liệt kê trước khi thay đổi mã.

• not_actionable: Giữ bằng chứng cùng bản ghi phân loại. Codex không tự động đóng hoặc cập nhật phiếu nguồn.

• Để tìm các lỗ hổng ngoài danh sách tồn đọng được cung cấp, hãy chạy quy trình quét bảo mật.