Verificar e analisar vulnerabilidades de código

Visualizar

Este produto ou recurso está sujeito aos "Termos das Soluções Pré-GA" na seção Termos Gerais de Serviço dos Termos Específicos de Serviço, e aos Termos Adicionais para Produtos de Pré-lançamento de IA Generativa. Os produtos e recursos pré-GA estão disponíveis "como estão" e podem ter suporte limitado. Para mais informações, consulte as descrições da fase de lançamento.

Os produtos pré-GA estão em várias fases de teste e revisão internos. Portanto, os clientes precisam supervisionar de perto o uso do CodeMender e não usá-lo em situações em que erros graves não podem ser corrigidos. Este produto é disponibilizado aos clientes apenas para testes e avaliações limitados e não pode ser usado para fins comerciais ou de produção.

Você só pode usar o CodeMender para analisar (i) código-fonte de sua propriedade ou que você tem autorização para usar ou (ii) código aberto distribuído sob uma licença aprovada pela OSI. Você precisa usar essa oferta apenas para fins legítimos de defesa de segurança (e não para testes, exploração ou ataques cibernéticos não autorizados) em conformidade com a Política de Uso Aceitável do Google Cloud e a Política de Uso Proibido da IA Generativa. Ao usar o CodeMender criado com um modelo do Gemini Cyber, seu acesso e uso desse modelo também são regidos pela Seção 31(a) dos Termos Específicos de Serviço (Gemini Cyber).

Ao desativar a confirmação humana das ações de gravação e execução de ferramentas (conforme descrito nos parâmetros do arquivo de configuração), o cliente é responsável por essa modificação de acordo com a Seção 20(j) ("Modificação, desconsideração ou desativação de filtros de segurança") dos Termos Específicos de Serviço. O cliente concorda em não ignorar ou contornar automaticamente outras respostas que exigem confirmação humana.

O CodeMender permite que você verifique proativamente sua base de código em busca de pontos fracos de software e execute explorações de prova de conceito (PoC) no seu sandbox local para confirmar a capacidade de exploração e eliminar falsos positivos.

Verificar vulnerabilidades

Para executar uma verificação de segurança rápida na sua base de código, execute cm find. Verifique módulos ou lotes de 10 a 50 arquivos por vez para um desempenho ideal.

Verificar um subdiretório específico:

cm find ./src/auth/

Verificar apenas os arquivos modificados em um subdiretório:

cm find --diff ./src/auth/

Verificar um único arquivo:

cm find ./src/auth/session_manager.py

Ignorar solicitações de aprovação interativa durante a verificação:

cm find ./src/auth/ -y

Para mais informações sobre como verificar solicitações de pull com --diff ou executar verificações profundas de várias sessões com --deep, consulte Modos de localização do CodeMender e Integrar com CI/CD.

Verificar vulnerabilidades

Aviso:o CodeMender executa comandos e pode modificar arquivos diretamente no sistema host. Por padrão, esses comandos são executados em um sandbox local no nível do processo. Se você desativar o sandbox (em config.yaml ou usando a flag --sandbox=false) ou ignorá-lo (usando a flag --unrestricted), execute a CLI em uma VM ou contêiner isolado para proteger o sistema host.

Depois que o CodeMender identificar possíveis vulnerabilidades, peça para ele verificar a capacidade de exploração. Durante a verificação, o CodeMender gera e executa uma exploração de prova de conceito (PoC) (dentro do sandbox padrão) para confirmar se o problema é realmente explorável.

Localize o finding-id na saída de cm report ou cm find e execute:

cm verify FINDING_ID

Flags de verificação

As flags a seguir configuram cm verify:

Sinalização	padrão	Descrição
-c, --context TEXT	""	Transmita instruções de direção ou contexto de domínio do aplicativo para orientar o agente (por exemplo, cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path").
--skip-exploit-verification	false	Marque as descobertas de alta confiança como verificadas sem executar novamente o script de exploração de PoC depois que o agente de verificação terminar. O agente ainda gera e executa uma exploração de PoC durante a verificação.
--sandbox	true	Ative ou desative explicitamente o sandbox para essa execução (por exemplo, --sandbox=false para desativar).
--unrestricted	false	Ignore temporariamente todas as proteções do sandbox para essa execução, desativando os limites do sistema de arquivos e o isolamento de contêiner no nível do SO.
-y, --yes	false	Pule as solicitações de confirmação interativa ([y/N]) para ações de ferramentas e execução de exploração de PoC. Os comandos permanecem contidos no contêiner do sandbox no nível do SO (exebox).