Analiza y verifica las vulnerabilidades del código

Vista previa

Este producto o función está sujeto a las "Condiciones de la Oferta de la Fase Previa a la DG" en la sección Condiciones Generales del Servicio de las Condiciones Específicas del Servicio y las Condiciones Adicionales para Productos de IA Generativa en Versión Preliminar. Los productos y las funciones de la fase previa a la DG están disponibles “tal como están” y pueden estar sujetos a asistencia limitada. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

Los productos en fase previa a la DG se encuentran en varias etapas de pruebas y revisiones internas. Por lo tanto, los clientes deben supervisar de cerca el uso de CodeMender y no utilizarlo en situaciones en las que no se puedan corregir errores graves. Este producto se pone a disposición de los Clientes únicamente para pruebas y evaluaciones limitadas, y no se puede usar con fines comerciales ni de producción.

Solo puedes usar CodeMender para analizar (i) el código fuente que te pertenece o que tienes autorización para usar, o (ii) el código fuente abierto distribuido bajo una licencia aprobada por la OSI. Debes usar esta oferta únicamente para fines legítimos de defensa de la seguridad (y no para pruebas, explotación o ciberataques no autorizados) en cumplimiento de la Política de Uso Aceptable de Google Cloud y la Política de Uso Prohibido de IA Generativas. Cuando usas CodeMender creado con un modelo de Gemini Cyber, tu acceso a ese modelo y su uso también se rigen por el Artículo 31(a) de las Condiciones Específicas del Servicio (Gemini Cyber).

Cuando se inhabilita la confirmación humana de las acciones de escritura y ejecución de herramientas (como se describe en los parámetros del archivo de configuración), el Cliente es responsable de dicha modificación en virtud del Artículo 20(j) (“Modificación, omisión o inhabilitación de filtros de seguridad”) de las Condiciones Específicas del Servicio. El cliente acepta no omitir ni eludir automáticamente otras respuestas que requieran confirmación humana.

CodeMender te permite analizar de forma proactiva tu base de código en busca de debilidades de software y ejecutar exploits de prueba de concepto (PoC) en tu zona de pruebas local para confirmar la explotabilidad y eliminar los falsos positivos.

Analiza en busca de vulnerabilidades

Para ejecutar un análisis de seguridad rápido en toda tu base de código, ejecuta cm find. Para obtener un rendimiento óptimo, analiza los módulos o lotes de 10 a 50 archivos a la vez.

Analiza un subdirectorio específico:

cm find ./src/auth/

Para analizar solo los archivos modificados en un subdirectorio, haz lo siguiente:

cm find --diff ./src/auth/

Analiza un solo archivo:

cm find ./src/auth/session_manager.py

Omitir las indicaciones interactivas de aprobación durante el análisis:

cm find ./src/auth/ -y

Para obtener más información sobre el análisis de solicitudes de extracción con --diff o la ejecución de análisis profundos de varias sesiones con --deep, consulta Modos de búsqueda de CodeMender y Integración con CI/CD.

Verifica las vulnerabilidades

Advertencia: CodeMender ejecuta comandos y puede modificar archivos directamente en tu sistema host. De forma predeterminada, estos comandos se ejecutan dentro de una zona de pruebas local a nivel del proceso. Si inhabilitas la zona de pruebas (en config.yaml o con la marca --sandbox=false) o la eludes (con la marca --unrestricted), ejecuta la CLI en una VM o un contenedor aislados para proteger tu sistema host.

Una vez que CodeMender identifique posibles vulnerabilidades, pídele que verifique la capacidad de explotación. Durante la verificación, CodeMender genera y ejecuta un exploit de prueba de concepto (PoC) (dentro de la zona de pruebas predeterminada) para confirmar si el problema es realmente explotable.

Ubica el finding-id en el resultado de cm report o cm find y, luego, ejecuta el siguiente comando:

cm verify FINDING_ID

Marcas de verificación

Las siguientes marcas configuran cm verify:

Marca	Valor predeterminado	Descripción
-c, --context TEXT	""	Pasa instrucciones de dirección o contexto del dominio de la aplicación para guiar al agente (por ejemplo, cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path").
--skip-exploit-verification	false	Realiza la verificación estática únicamente sin ejecutar exploits activos de PoC.
--sandbox	true	Habilita o inhabilita explícitamente la zona de pruebas para esta ejecución (por ejemplo, --sandbox=false para inhabilitarla).
--unrestricted	false	Se omiten temporalmente todas las protecciones de la zona de pruebas para esta ejecución, lo que inhabilita los límites del sistema de archivos y el aislamiento de contenedores a nivel del SO.
-y, --yes	false	Omite las confirmaciones interactivas ([y/N]) para las acciones de herramientas y la ejecución de la PoC. Los comandos permanecen contenidos dentro del contenedor de zona de pruebas a nivel del SO (exebox).