Analiza y verifica las vulnerabilidades del código

Vista previa

Este producto o función está sujeto a las "Condiciones de las Ofertas de la Fase Previa a la DG" de la sección de Términos Generales del Servicio de los Términos Específicos del Servicio, y las Condiciones Adicionales para Productos en Versión Preliminar de IA Generativa. Los productos y las funciones en la fase previa a la DG están disponibles "tal como están" y es posible que tengan asistencia limitada. Para obtener más información, consulta las descripciones de la etapa de lanzamiento .

Los productos en la fase previa a la DG se encuentran en varias etapas de pruebas y revisiones internas. Por lo tanto, los clientes deben supervisar de cerca el uso de CodeMender y no usarlo en situaciones en las que no se puedan corregir errores graves. Este producto se pone a disposición de los clientes únicamente para pruebas y evaluaciones limitadas, y no se puede usar con fines comerciales ni de producción.

Solo puedes usar CodeMender para analizar (i) el código fuente que posees o que tienes autorización para usar, o (ii) el código abierto distribuido bajo una licencia aprobada por OSI. Debes usar esta oferta únicamente para fines legítimos de defensa de seguridad (y no para pruebas, explotación o ciberataques no autorizados) de conformidad con la Política de Uso Aceptable de Google Cloud y la Política de Uso Prohibido de IA Generativas. Cuando usas CodeMender compilado con un modelo de Gemini Cyber o Gemini Frontier Cyber, tu acceso a esos modelos y su uso también se rigen por la Sección 31 de las Condiciones Específicas del Servicio.

Cuando se inhabilita la confirmación humana de las acciones de escritura y ejecución de herramientas (como se describe en los parámetros del archivo de configuración), el cliente es responsable de dicha modificación en virtud de la Sección 20(j) ("Modificación, omisión o inhabilitación de filtros de seguridad") de las Condiciones Específicas del Servicio. El cliente acepta no omitir ni eludir automáticamente otras respuestas que requieran confirmación humana.

CodeMender te permite analizar de forma proactiva tu base de código en busca de debilidades de software y ejecutar exploits de prueba de concepto (PoC) en tu zona de pruebas local para confirmar la explotabilidad y eliminar los falsos positivos.

Analiza en busca de vulnerabilidades

Para ejecutar un análisis de seguridad rápido en tu base de código, ejecuta cm find. Analiza módulos específicos o lotes de 10 a 50 archivos a la vez para obtener un rendimiento óptimo.

Analiza un subdirectorio específico:

cm find ./src/auth/

Analiza solo los archivos modificados en un subdirectorio:

cm find --diff ./src/auth/

Analiza un solo archivo:

cm find ./src/auth/session_manager.py

Omite las solicitudes de aprobación interactivas durante el análisis:

cm find ./src/auth/ -y

Para obtener más información sobre el análisis de solicitudes de extracción con --diff o la ejecución de análisis profundos de varias sesiones con --deep, consulta Modos de búsqueda de CodeMender y Cómo realizar la integración con CI/CD.

Verifica las vulnerabilidades

Advertencia: CodeMender ejecuta comandos y puede modificar archivos directamente en tu sistema host. De forma predeterminada, estos comandos se ejecutan dentro de una zona de pruebas local a nivel de proceso. Si inhabilitas la zona de pruebas (en config.yaml o con la marca --sandbox=false) o la eludes (con la marca --unrestricted), ejecuta la CLI en una VM o un contenedor aislados para proteger tu sistema host.

Una vez que CodeMender identifica posibles vulnerabilidades, pídele que verifique la explotabilidad. Durante la verificación, CodeMender genera y ejecuta un exploit de prueba de concepto (PoC) (dentro de la zona de pruebas predeterminada) para confirmar si el problema es realmente explotable.

Ubica el finding-id en el resultado de cm report o cm find y, luego, ejecuta lo siguiente:

cm verify FINDING_ID

Marcas de verificación

Las siguientes marcas configuran cm verify:

Marcar	Valor predeterminado	Descripción
-c, --context TEXT	""	Pasa instrucciones de dirección o contexto de dominio de la aplicación para guiar al agente (por ejemplo, cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path").
--skip-exploit-verification	false	Marca los resultados de alta confianza como verificados sin volver a ejecutar la secuencia de comandos de exploit de PoC después de que finalice el agente de verificación. El agente aún genera y ejecuta un exploit de PoC durante la verificación.
--sandbox	true	Habilita o inhabilita explícitamente la zona de pruebas para esta ejecución (por ejemplo, --sandbox=false para inhabilitarla).
--unrestricted	false	Elude temporalmente todas las protecciones de la zona de pruebas para esta ejecución, lo que inhabilita los límites del sistema de archivos y el aislamiento de contenedores a nivel del SO.
-y, --yes	false	Omite las solicitudes de confirmación interactivas ([y/N]) para las acciones de herramientas y la ejecución de exploits de PoC. Los comandos permanecen contenidos dentro del contenedor de la zona de pruebas a nivel del SO (exebox).