Analyser et valider les failles de code

Aperçu

Ce produit ou cette fonctionnalité sont soumis aux "Conditions des offres de pré-DG" de la section "Conditions générales du service" des Conditions spécifiques du service et aux Conditions supplémentaires pour les produits d'IA générative en version preview. Les produits et fonctionnalités de pré-DG sont disponibles "en l'état" et peuvent avoir une compatibilité limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

Les produits en pré-DG sont à différents stades de tests et d'examen internes. Par conséquent, les clients doivent surveiller de près l'utilisation de CodeMender et ne pas l'utiliser dans des situations où des erreurs graves ne peuvent pas être corrigées. Ce produit est mis à la disposition des Clients uniquement à des fins de test et d'évaluation limitées, et ne peut pas être utilisé à des fins commerciales ou de production.

Vous ne pouvez utiliser CodeMender que pour analyser (i) le code source dont vous êtes propriétaire ou que vous êtes autorisé à utiliser, ou (ii) le code Open Source distribué sous une licence approuvée par l'OSI. Vous devez utiliser cette offre uniquement à des fins légitimes de défense de la sécurité (et non pour des tests, des exploitations ou des cyberattaques non autorisés) conformément au Règlement Google Cloud sur l'utilisation autorisée et au Règlement sur les utilisations interdites de l'IA générative. Lorsque vous utilisez CodeMender conçu avec un modèle Gemini Cyber, votre accès à ce modèle et votre utilisation de celui-ci sont également régis par la section 31(a) des Conditions d'utilisation spécifiques aux services (Gemini Cyber).

Lorsque le Client désactive la confirmation humaine des actions d'écriture et d'exécution d'outils (comme décrit dans les paramètres du fichier de configuration), il est responsable de cette modification en vertu de la section 20(j) ("Modification, non-respect ou désactivation des filtres de sécurité") des Conditions d'utilisation spécifiques aux Services. Le client s'engage à ne pas contourner automatiquement les autres réponses nécessitant une confirmation humaine.

CodeMender vous permet d'analyser de manière proactive votre base de code pour détecter les faiblesses logicielles et d'exécuter des exploitations de démonstration de faisabilité dans votre bac à sable local pour confirmer l'exploitabilité et éliminer les faux positifs.

Analyser les failles

Pour exécuter une analyse de sécurité rapide dans votre codebase, exécutez cm find. Pour des performances optimales, analysez les modules cibles ou les lots de 10 à 50 fichiers à la fois.

Analyser un sous-répertoire spécifique :

cm find ./src/auth/

Analyser uniquement les fichiers modifiés dans un sous-répertoire :

cm find --diff ./src/auth/

Analyser un seul fichier :

cm find ./src/auth/session_manager.py

Ignorer les invites d'approbation interactives lors de l'analyse :

cm find ./src/auth/ -y

Pour en savoir plus sur l'analyse des demandes d'extraction avec --diff ou sur l'exécution d'analyses multisessions approfondies avec --deep, consultez Modes de recherche CodeMender et Intégrer à CI/CD.

Vérifier les failles

Avertissement : CodeMender exécute des commandes et peut modifier des fichiers directement sur votre système hôte. Par défaut, ces commandes s'exécutent dans un bac à sable local au niveau du processus. Si vous désactivez le bac à sable (dans config.yaml ou à l'aide de l'indicateur --sandbox=false) ou le contournez (à l'aide de l'indicateur --unrestricted), exécutez la CLI dans une VM ou un conteneur isolés pour protéger votre système hôte.

Une fois que CodeMender a identifié des failles potentielles, demandez-lui de vérifier leur exploitabilité. Lors de la validation, CodeMender génère et exécute une preuve de concept (PoC) d'exploitation (dans le bac à sable par défaut) pour confirmer si le problème est réellement exploitable.

Localisez le finding-id à partir du résultat de cm report ou cm find, puis exécutez :

cm verify FINDING_ID

Indicateurs de validation

Les indicateurs suivants configurent cm verify :

Option	Valeur par défaut	Description
-c, --context TEXT	""	Transmettez des instructions de pilotage ou le contexte du domaine d'application pour guider l'agent (par exemple, cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path").
--skip-exploit-verification	false	Effectuez uniquement une vérification statique sans exécuter d'exploits PoC actifs.
--sandbox	true	Activez ou désactivez explicitement le bac à sable pour cette exécution (par exemple, --sandbox=false pour le désactiver).
--unrestricted	false	Contourne temporairement toutes les protections du bac à sable pour cette exécution, en désactivant les limites du système de fichiers et l'isolation des conteneurs au niveau de l'OS.
-y, --yes	false	Ignorez les invites de confirmation interactives ([y/N]) pour les actions d'outils et l'exécution d'exploits de preuve de concept. Les commandes restent contenues dans le conteneur bac à sable au niveau de l'OS (exebox).