Code auf Sicherheitslücken scannen und diese bestätigen

Vorschau

Dieses Produkt oder Feature unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen und den Zusatzbedingungen für Vorschauprodukte auf Basis von generativer KI. Pre-GA-Produkte und ‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie in den Beschreibungen der Produkteinführungsphasen.

Pre-GA-Produkte befinden sich in verschiedenen Phasen interner Tests und Überprüfungen. Daher sollten Kunden die Verwendung von CodeMender genau überwachen und CodeMender nicht in Situationen verwenden, in denen schwerwiegende Fehler nicht behoben werden können. Dieses Produkt wird Kunden ausschließlich für begrenzte Tests und Bewertungen zur Verfügung gestellt und darf nicht für kommerzielle oder Produktionszwecke verwendet werden.

Sie dürfen CodeMender nur zum Analysieren von (i) Quellcode verwenden, der Ihnen gehört oder für den Sie zur Verwendung berechtigt sind, oder (ii) Open-Source-Code, der unter einer von der OSI genehmigten Lizenz vertrieben wird. Sie dürfen dieses Angebot nur für legitime Sicherheitszwecke nutzen (und nicht für unbefugte Tests, Ausnutzung oder Cyberangriffe) und müssen dabei die Google Cloud-Richtlinien zur zulässigen Verwendung und die Richtlinie zur unzulässigen Nutzung von generativer KI einhalten. Wenn Sie CodeMender verwenden, das mit einem Gemini Cyber-Modell erstellt wurde, unterliegt Ihr Zugriff auf und Ihre Nutzung dieses Modells auch Abschnitt 31(a) der dienstspezifischen Nutzungsbedingungen (Gemini Cyber).

Wenn der Kunde die Bestätigung durch einen Menschen für Schreib- und Tool-Ausführungsaktionen deaktiviert (wie in den Parametern der Konfigurationsdatei beschrieben), ist er für diese Änderung gemäß Abschnitt 20(j) („Sicherheitsfilter ändern, ignorieren oder deaktivieren“) der dienstspezifischen Nutzungsbedingungen verantwortlich. Der Kunde stimmt zu, andere Antworten, die eine Bestätigung durch einen Menschen erfordern, nicht automatisch zu umgehen.

Mit CodeMender können Sie Ihre Codebasis proaktiv auf Softwareschwachstellen scannen und Proof-of-Concept-Exploits (PoC) in Ihrer lokalen Sandbox ausführen, um die Ausnutzbarkeit zu bestätigen und Falschmeldungen zu eliminieren.

Auf Sicherheitslücken scannen

Wenn Sie einen schnellen Sicherheitsscan für Ihre Codebasis ausführen möchten, führen Sie cm find aus. Scannen Sie gezielte Module oder Gruppen von 10 bis 50 Dateien gleichzeitig, um eine optimale Leistung zu erzielen.

Ein bestimmtes Unterverzeichnis scannen:

cm find ./src/auth/

Nur die geänderten Dateien in einem Unterverzeichnis scannen:

cm find --diff ./src/auth/

So scannen Sie eine einzelne Datei:

cm find ./src/auth/session_manager.py

Interaktive Genehmigungsaufforderungen während des Scans überspringen:

cm find ./src/auth/ -y

Weitere Informationen zum Scannen von Pull-Requests mit --diff oder zum Ausführen von Deep-Scans mit mehreren Sitzungen mit --deep finden Sie unter CodeMender-Suchmodi und In CI/CD einbinden.

Sicherheitslücken bestätigen

Warnung:CodeMender führt Befehle aus und kann Dateien direkt auf Ihrem Hostsystem ändern. Standardmäßig werden diese Befehle in einer lokalen Sandbox auf Prozessebene ausgeführt. Wenn Sie die Sandbox deaktivieren (in config.yaml oder mit dem Flag --sandbox=false) oder umgehen (mit dem Flag --unrestricted), führen Sie die CLI in einer isolierten VM oder einem isolierten Container aus, um Ihr Hostsystem zu schützen.

Sobald CodeMender potenzielle Sicherheitslücken identifiziert hat, können Sie es bitten, die Ausnutzbarkeit zu überprüfen. Während der Überprüfung generiert und führt CodeMender einen Proof-of-Concept-Exploit (PoC) in der Standard-Sandbox aus, um zu bestätigen, ob das Problem tatsächlich ausgenutzt werden kann.

Suchen Sie in der Ausgabe von cm report oder cm find nach dem finding-id und führen Sie dann Folgendes aus:

cm verify FINDING_ID

Bestätigungs-Flags

Mit den folgenden Flags wird cm verify konfiguriert:

Flag	Standardeinstellung	Beschreibung
-c, --context TEXT	""	Geben Sie Steuerungsanweisungen oder Kontext zur Anwendungsdomain an, um den Agent zu steuern (z. B. cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path").
--skip-exploit-verification	false	Führen Sie nur die statische Überprüfung durch, ohne aktive PoC-Exploits auszuführen.
--sandbox	true	Aktivieren oder deaktivieren Sie die Sandbox für diesen Lauf explizit (z. B. --sandbox=false zum Deaktivieren).
--unrestricted	false	Alle Sandbox-Schutzmaßnahmen für diesen Lauf werden vorübergehend umgangen. Dateisystemgrenzen und die Containerisolierung auf Betriebssystemebene werden deaktiviert.
-y, --yes	false	Interaktive Bestätigungsaufforderungen ([y/N]) für Toolaktionen und die Ausführung von PoC-Exploits überspringen. Befehle bleiben im Sandbox-Container auf Betriebssystemebene (exebox).