Memindai dan memverifikasi kerentanan kode

Pratinjau

Produk atau fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum di Persyaratan Khusus Layanan, dan Persyaratan Tambahan untuk Produk Pratinjau AI Generatif. Produk dan fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Produk pra-GA berada dalam berbagai tahap pengujian dan peninjauan internal. Oleh karena itu, pelanggan harus mengawasi penggunaan CodeMender dengan cermat, dan tidak menggunakan CodeMender dalam situasi saat error serius tidak dapat diperbaiki. Produk ini disediakan bagi Pelanggan semata-mata untuk pengujian dan evaluasi terbatas, dan tidak boleh digunakan untuk tujuan komersial atau produksi.

Anda hanya boleh menggunakan CodeMender untuk menganalisis (i) kode sumber yang Anda miliki atau yang Anda berwenang untuk menggunakannya atau (ii) kode open source yang didistribusikan berdasarkan lisensi yang disetujui OSI. Anda harus menggunakan penawaran ini semata-mata untuk tujuan pertahanan keamanan yang sah (dan bukan untuk pengujian, eksploitasi, atau serangan siber yang tidak sah) sesuai dengan Kebijakan Penggunaan yang Dapat Diterima Google Cloud dan Kebijakan Penggunaan Terlarang untuk AI Generatif. Saat menggunakan CodeMender yang dibuat dengan model Gemini Cyber, akses dan penggunaan model tersebut oleh Anda juga diatur oleh Pasal 31(a) Persyaratan Khusus Layanan (Gemini Cyber).

Saat menonaktifkan konfirmasi tindakan tulis dan eksekusi alat oleh manusia (seperti yang dijelaskan dalam parameter file konfigurasi), Pelanggan bertanggung jawab atas modifikasi tersebut berdasarkan Pasal 20(j) ("Mengubah, Mengabaikan, atau Menonaktifkan Filter Keamanan") Persyaratan Khusus Layanan. Pelanggan setuju untuk tidak secara otomatis melewati atau mengakali respons lain yang memerlukan konfirmasi manusia.

CodeMender memungkinkan Anda memindai codebase secara proaktif untuk menemukan kelemahan software dan menjalankan eksploitasi bukti konsep (PoC) di sandbox lokal untuk mengonfirmasi eksploitasi dan menghilangkan positif palsu.

Memindai kerentanan

Untuk menjalankan pemindaian keamanan cepat di seluruh codebase Anda, jalankan cm find. Pindai modul atau batch yang ditargetkan yang berisi 10 hingga 50 file sekaligus untuk performa optimal.

Memindai subdirektori tertentu:

cm find ./src/auth/

Hanya memindai file yang diubah dalam subdirektori:

cm find --diff ./src/auth/

Memindai satu file:

cm find ./src/auth/session_manager.py

Lewati perintah persetujuan interaktif selama pemindaian:

cm find ./src/auth/ -y

Untuk mengetahui informasi selengkapnya tentang pemindaian pull request dengan --diff atau menjalankan pemindaian multi-sesi mendalam dengan --deep, lihat Mode penemuan CodeMender dan Mengintegrasikan dengan CI/CD.

Memverifikasi kerentanan

Peringatan: CodeMender menjalankan perintah dan dapat mengubah file secara langsung di sistem host Anda. Secara default, perintah ini berjalan di dalam sandbox tingkat proses lokal. Jika Anda menonaktifkan sandbox (di config.yaml atau menggunakan flag --sandbox=false) atau melewatinya (menggunakan flag --unrestricted), jalankan CLI di VM atau container yang terisolasi untuk melindungi sistem host Anda.

Setelah CodeMender mengidentifikasi potensi kerentanan, minta CodeMender untuk memverifikasi apakah kerentanan tersebut dapat dieksploitasi. Selama verifikasi, CodeMender membuat dan menjalankan eksploitasi bukti konsep (PoC) (di dalam sandbox default) untuk mengonfirmasi apakah masalah tersebut benar-benar dapat dieksploitasi.

Temukan finding-id dari output cm report atau cm find, lalu jalankan:

cm verify FINDING_ID

Tanda verifikasi

Flag berikut mengonfigurasi cm verify:

Flag	Default	Deskripsi
-c, --context TEXT	""	Teruskan petunjuk pengarahan atau konteks domain aplikasi untuk memandu agen (misalnya, cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path").
--skip-exploit-verification	false	Lakukan verifikasi statis saja tanpa menjalankan eksploitasi PoC aktif.
--sandbox	true	Aktifkan atau nonaktifkan sandbox secara eksplisit untuk proses ini (misalnya, --sandbox=false untuk menonaktifkan).
--unrestricted	false	Mengabaikan semua perlindungan sandbox untuk sementara waktu selama proses ini, menonaktifkan batas sistem file dan isolasi container tingkat OS.
-y, --yes	false	Lewati perintah konfirmasi interaktif ([y/N]) untuk tindakan alat dan eksekusi eksploitasi PoC. Perintah tetap berada di dalam penampung sandbox tingkat OS (exebox).