Phân loại danh sách tồn đọng
Rà soát các phát hiện bảo mật hiện có dựa trên một kho lưu trữ và sắp xếp thứ tự công việc tiếp theo.
Sử dụng $codex-security:triage-finding để rà soát các phát hiện bảo mật hiện có
dựa trên kho lưu trữ hiện tại. Quy trình này thực hiện phân tích tĩnh chỉ đọc:
Codex coi mỗi phát hiện là một nhận định chưa được chứng minh và kiểm tra bằng chứng trong kho lưu trữ
mà không thực thi mã.
Chạy quy trình này từ một dự án Codex có phạm vi là kho lưu trữ bạn muốn đánh giá. Codex phải có khả năng đọc mã nguồn của kho lưu trữ. Các trình kết nối Jira và Linear có thể cung cấp dữ liệu phát hiện, còn phát hiện GitHub yêu cầu quyền truy cập GitHub REST đã xác thực. Không phương án nào thay thế quyền truy cập vào mã nguồn.
Quy trình này khác với $codex-security:validation, vốn có thể biên dịch hoặc chạy mã,
tạo bài kiểm thử hoặc bằng chứng khái niệm, hay thao tác trên giao diện thực để
tái hiện hoặc bác bỏ một phát hiện. Dùng quy trình phân loại để phân loại và xếp hạng
danh sách tồn đọng hiện có. Dùng quy trình xác thực khi bằng chứng lúc chạy có thể làm rõ một phát hiện
mà bằng chứng tĩnh chưa đủ để kết luận.
Chọn các phát hiện cần phân loại
Bạn có thể cung cấp một phát hiện hoặc một tập hợp từ các nguồn sau:
| Nguồn | Thông tin cần cung cấp | Yêu cầu |
|---|---|---|
| Phát hiện được dán hoặc lưu cục bộ | Kết quả SARIF, một CVE hoặc GHSA, thông báo bảo mật, phiếu từ công cụ quét, báo cáo săn lỗi nhận thưởng, tệp kết quả phát hiện của Codex Security hoặc nhận định về lỗ hổng bằng ngôn ngữ thông thường. | Không cần trình kết nối. |
| Jira hoặc Linear | URL hoặc mã định danh chính xác của vấn đề bảo mật hay lỗ hổng, Jira JQL, hoặc nhóm, dự án hay cụm từ tìm kiếm trong Linear. Codex truy xuất nội dung vấn đề đã chọn trước khi phân loại. | Jira qua Atlassian Rovo hoặc Linear có quyền đọc. |
| GitHub | Một kho lưu trữ và một nguồn phát hiện: quét mã, lỗ hổng và phần mềm độc hại từ Dependabot, thông báo bảo mật và báo cáo lỗ hổng riêng tư, hoặc tất cả các nguồn. Nếu bạn không chỉ định kho lưu trữ, Codex dùng kho lưu trữ GitHub gắn với dự án Codex hiện tại khi có. GitHub Issues không được bao gồm theo mặc định. Hãy cung cấp một issue cụ thể hoặc yêu cầu rõ việc sử dụng GitHub Issues. |
Quyền truy cập GitHub REST đã xác thực, chẳng hạn như gh auth token, GH_TOKEN hoặc GITHUB_TOKEN, với quyền đọc kho lưu trữ và loại phát hiện đã chọn. |
Codex giữ lại một kết quả cho mỗi phát hiện được cung cấp theo thứ tự đầu vào để mỗi phát hiện nguồn vẫn có thể truy vết. Công cụ không hợp nhất hoặc loại bỏ các phát hiện có vẻ trùng lặp.
Chạy quy trình phân loại chỉ đọc
Đối với phát hiện được dán hoặc artifact cục bộ, hãy gửi một lời nhắc như sau:
Use $codex-security:triage-finding to triage these existing security findings against this repository:
[Paste the findings or provide the artifact path.]Đối với các issue Jira hoặc Linear, hãy xác định tập hợp issue và giữ hệ thống nguồn ở chế độ chỉ đọc:
Use $codex-security:triage-finding to import and triage the security findings from [Jira or Linear issue URLs, identifiers, or query] against this repository.
Do not change the source issues.Đối với phát hiện GitHub, hãy nêu kho lưu trữ và nguồn:
Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from [owner/repository] against this repository.Để sử dụng kho lưu trữ GitHub được gắn với dự án Codex hiện tại, chỉ cần chỉ định nguồn phát hiện:
Use $codex-security:triage-finding to import and triage [code scanning, Dependabot vulnerabilities and malware, security advisories and private vulnerability reports, or all] from GitHub against this repository. Use the GitHub repository attached to the current Codex project.Codex kiểm tra mã nguồn hiện tại và chính sách SECURITY.md áp dụng, sau đó
trả về kết luận cho từng phát hiện đầu vào. Codex ghi lại bằng chứng cả ủng hộ lẫn
bác bỏ nhận định, cùng các câu hỏi chưa được giải đáp.
Rà soát kết quả
| Kết luận | Ý nghĩa |
|---|---|
confirmed |
Bằng chứng trong kho lưu trữ cho thấy đường dẫn dễ bị tấn công có thể tiếp cận theo các điều kiện tiên quyết đã nêu và vượt qua một ranh giới bảo mật được hỗ trợ. |
not_actionable |
Bằng chứng trong kho lưu trữ bác bỏ nhận định, chẳng hạn bằng cách cho thấy phiên bản không bị ảnh hưởng, đường dẫn không thể tiếp cận, biện pháp bảo vệ hiệu quả hoặc bề mặt không được phát hành. |
needs_review |
Bằng chứng trong kho lưu trữ không đủ để quyết định vì thông tin bắt buộc bị thiếu, mơ hồ, phụ thuộc vào thời gian chạy, môi trường hoặc chính sách. |
Dùng thứ hạng để quyết định phát hiện confirmed nào cần khắc phục trước và phát hiện
needs_review nào cần điều tra trước. Mỗi nhóm được xếp hạng riêng.
Đọc lý do đưa ra kết luận cùng với mã bị ảnh hưởng và các điều kiện tiên quyết
đối với kẻ tấn công. Đối chiếu bằng chứng với nhận định và mọi câu hỏi còn bỏ ngỏ
trước khi hành động theo thứ hạng. Ở đây, confirmed nghĩa là được bằng chứng tĩnh trong
kho lưu trữ hỗ trợ, chưa phải đã được tái hiện bằng cách chạy ứng dụng.
Các bản ghi trong Jira, Linear và các danh sách tồn đọng khác được giữ nguyên trừ khi bạn yêu cầu Codex cập nhật sau khi rà soát kết quả phân loại.
Các bước tiếp theo
confirmed: Sau khi một người chấp nhận phát hiện để khắc phục, hãy dùng$codex-security:fix-findingđể khắc phục và xác minh. Quy trình phân loại chuẩn bị nội dung bàn giao sẵn dùng làm lời nhắc nhưng không tự động gọi kỹ năng đó.needs_review: Nếu việc chạy mã có thể lấp khoảng trống bằng chứng, hãy dùng$codex-security:validationđể kiểm tra phát hiện trên mã đang chạy. Truyền vào nhận định của phát hiện, các vị trí bị ảnh hưởng, điều kiện tiên quyết, bằng chứng tĩnh và các khoảng trống bằng chứng từ kết quả phân loại:
Use $codex-security:validation to dynamically validate finding [triage item ID or source ID] from the backlog triage result. Reproduce or disprove the finding, record what you tested, and list any remaining uncertainty.Khác với phân loại, xác thực có thể biên dịch hoặc chạy mã, tạo bài kiểm thử hoặc bằng chứng khái niệm, hay thao tác trên giao diện thực. Xem Chính sách phê duyệt và bảo mật của Codex để biết các biện pháp kiểm soát thực thi.
needs_review: Nếu phát hiện phụ thuộc vào chính sách sản phẩm hoặc bối cảnh triển khai, hãy trả lời các câu hỏi còn bỏ ngỏ đã liệt kê trước khi thay đổi mã.not_actionable: Giữ bằng chứng cùng bản ghi phân loại. Codex không tự động đóng hoặc cập nhật phiếu nguồn.- Để tìm lỗ hổng ngoài danh sách tồn đọng đã cung cấp, hãy chạy một lượt quét bảo mật.