Scansiona e verifica le vulnerabilità del codice

Anteprima

Questo prodotto o funzionalità sono soggetti ai "Termini delle Offerte pre-GA" nella sezione Termini di servizio generali dei Termini specifici dei servizi e ai Termini aggiuntivi per i prodotti in anteprima dell'AI generativa. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

I prodotti pre-GA si trovano in varie fasi di test e revisione interni. Pertanto, i clienti devono supervisionare attentamente l'utilizzo di CodeMender e non utilizzarlo in situazioni in cui non è possibile correggere errori gravi. Questo prodotto viene reso disponibile ai clienti esclusivamente per test e valutazioni limitati e non può essere utilizzato per scopi commerciali o di produzione.

Puoi utilizzare CodeMender solo per analizzare (i) il codice sorgente di tua proprietà o che sei autorizzato a utilizzare o (ii) il codice open source distribuito con una licenza approvata dall'OSI. Devi utilizzare questa offerta esclusivamente per scopi legittimi di difesa della sicurezza (e non per test, sfruttamento o attacchi informatici non autorizzati) in conformità alle Norme di utilizzo accettabile di Google Cloud e alle Norme relative all'uso vietato dell'AI generativa. Quando utilizzi CodeMender creato con un modello Gemini Cyber, il tuo accesso e il tuo utilizzo di questo modello sono regolati anche dalla sezione 31(a) dei Termini specifici dei servizi (Gemini Cyber).

Quando disattiva la conferma umana delle azioni di scrittura e di esecuzione degli strumenti (come descritto nei parametri del file di configurazione), il Cliente è responsabile di tale modifica ai sensi della Sezione 20(j) ("Modifica, mancato rispetto o disattivazione dei filtri di sicurezza") dei Termini specifici del servizio. Il cliente accetta di non aggirare o eludere automaticamente altre risposte che richiedono la conferma umana.

CodeMender ti consente di scansionare in modo proattivo la tua base di codice per individuare le debolezze del software ed eseguire exploit proof-of-concept (PoC) nella tua sandbox locale per confermare l'exploitabilità ed eliminare i falsi positivi.

Analisi delle vulnerabilità

Per eseguire una scansione rapida della sicurezza nel tuo codebase, esegui cm find. Scansiona i moduli o i batch di 10-50 file alla volta per ottenere prestazioni ottimali.

Scansiona una sottodirectory specifica:

cm find ./src/auth/

Esegui la scansione solo dei file modificati in una sottodirectory:

cm find --diff ./src/auth/

Scansionare un singolo file:

cm find ./src/auth/session_manager.py

Ignora le richieste di approvazione interattive durante la scansione:

cm find ./src/auth/ -y

Per ulteriori informazioni sulla scansione delle richieste pull con --diff o sull'esecuzione di scansioni approfondite multi-sessione con --deep, consulta Modalità di ricerca di CodeMender e Integrazione con CI/CD.

Verifica delle vulnerabilità

Avviso:CodeMender esegue i comandi e potrebbe modificare i file direttamente sul sistema host. Per impostazione predefinita, questi comandi vengono eseguiti all'interno di una sandbox locale a livello di processo. Se disattivi la sandbox (in config.yaml o utilizzando il flag --sandbox=false) o la aggiri (utilizzando il flag --unrestricted), esegui la CLI in una VM o un container isolato per proteggere il sistema host.

Una volta che CodeMender identifica potenziali vulnerabilità, chiedigli di verificarne l'exploitability. Durante la verifica, CodeMender genera ed esegue un exploit proof-of-concept (PoC) (all'interno della sandbox predefinita) per confermare se il problema è effettivamente sfruttabile.

Individua finding-id dall'output di cm report o cm find, quindi esegui:

cm verify FINDING_ID

Flag di verifica

I seguenti flag configurano cm verify:

Flag	Predefinito	Descrizione
-c, --context TEXT	""	Trasmetti istruzioni di guida o il contesto del dominio dell'applicazione per guidare l'agente (ad esempio, cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path").
--skip-exploit-verification	false	Esegui la verifica statica solo senza eseguire exploit PoC attivi.
--sandbox	true	Attiva o disattiva esplicitamente la sandbox per questa esecuzione (ad esempio, --sandbox=false per disattivarla).
--unrestricted	false	Bypassa temporaneamente tutte le protezioni sandbox per questa esecuzione, disattivando i limiti del file system e l'isolamento dei contenitori a livello di sistema operativo.
-y, --yes	false	Salta le richieste di conferma interattive ([y/N]) per le azioni dello strumento e l'esecuzione dell'exploit PoC. I comandi rimangono contenuti all'interno del contenitore sandbox a livello di sistema operativo (exebox).