Analyser et valider les failles de code

Aperçu

Ce produit ou cette fonctionnalité sont soumis aux "Conditions des offres de pré-DG" de la section "Conditions générales du service" des Conditions spécifiques du service, et aux Conditions supplémentaires pour les produits d'IA générative en version preview. Les produits et fonctionnalités en pré-DG sont disponibles "en l'état" et peuvent bénéficier d'une assistance limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

Les produits en pré-DG sont à différentes étapes de test et d'examen internes. Par conséquent, les clients doivent surveiller de près l'utilisation de CodeMender et ne pas l'utiliser dans les situations où des erreurs graves ne peuvent pas être corrigées. Ce produit est mis à la disposition des clients uniquement à des fins de test et d'évaluation limitées, et ne peut pas être utilisé à des fins commerciales ou de production.

Vous ne pouvez utiliser CodeMender que pour analyser (i) le code source dont vous êtes propriétaire ou que vous êtes autorisé à utiliser, ou (ii) le code Open Source distribué sous une licence approuvée par l'OSI. Vous devez utiliser cette offre uniquement à des fins légitimes de défense de la sécurité (et non pour des tests, une exploitation ou des cyberattaques non autorisés) conformément au Règlement sur l'utilisation acceptable de Google Cloud et au Règlement sur les utilisations interdites de l'IA générative. Lorsque vous utilisez CodeMender conçu avec un modèle Gemini Cyber ou Gemini Frontier Cyber, votre accès à ces modèles et leur utilisation sont également régis par la section 31 des Conditions spécifiques du service.

Lorsque le client désactive la confirmation humaine des actions d'écriture et d'exécution d'outils (comme décrit dans les paramètres du fichier de configuration), il est responsable de cette modification conformément à la section 20(j) ("Modification, non-respect ou désactivation des filtres de sécurité") des Conditions spécifiques du service. Le client s'engage à ne pas contourner automatiquement les autres réponses nécessitant une confirmation humaine.

CodeMender vous permet d'analyser de manière proactive votre base de code pour détecter les faiblesses logicielles et d'exécuter des preuves de concept (PoC) dans votre bac à sable local pour confirmer l'exploitabilité et éliminer les faux positifs.

Analyser les failles

Pour exécuter une analyse de sécurité rapide dans votre base de code, exécutez cm find. Analysez des modules ciblés ou des lots de 10 à 50 fichiers à la fois pour des performances optimales.

Analysez un sous-répertoire spécifique :

cm find ./src/auth/

Analysez uniquement les fichiers modifiés dans un sous-répertoire :

cm find --diff ./src/auth/

Analysez un seul fichier :

cm find ./src/auth/session_manager.py

Ignorez les invites d'approbation interactives lors de l'analyse :

cm find ./src/auth/ -y

Pour en savoir plus sur l'analyse des demandes d'extraction avec --diff ou l'exécution d'analyses approfondies multisession avec --deep, consultez Modes de recherche CodeMender et Intégrer à CI/CD.

Vérifier les failles

Avertissement : CodeMender exécute des commandes et peut modifier directement des fichiers sur votre système hôte. Par défaut, ces commandes s'exécutent dans un bac à sable local au niveau du processus. Si vous désactivez le bac à sable (dans config.yaml ou à l'aide de l'indicateur --sandbox=false) ou si vous le contournez (à l'aide de l'indicateur --unrestricted), exécutez la CLI dans une VM ou un conteneur isolé pour protéger votre système hôte.

Une fois que CodeMender a identifié des failles potentielles, demandez-lui de vérifier l'exploitabilité. Lors de la vérification, CodeMender génère et exécute une preuve de concept (PoC) (dans le bac à sable par défaut) pour confirmer si le problème est réellement exploitable.

Recherchez le finding-id dans la sortie de cm report ou cm find, puis exécutez :

cm verify FINDING_ID

Indicateurs de vérification

Les indicateurs suivants configurent cm verify :

Option	Valeur par défaut	Description
-c, --context TEXT	""	Transmettez des instructions de pilotage ou un contexte de domaine d'application pour guider l' agent (par exemple, cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path").
--skip-exploit-verification	false	Marquez les résultats à haute confiance comme vérifiés sans réexécuter le script d'exploit PoC une fois l'agent de vérification terminé. L'agent génère et exécute toujours un exploit PoC lors de la vérification.
--sandbox	true	Activez ou désactivez explicitement le bac à sable pour cette exécution (par exemple, --sandbox=false pour le désactiver).
--unrestricted	false	Contournez temporairement toutes les protections du bac à sable pour cette exécution, en désactivant les limites du système de fichiers et l'isolation des conteneurs au niveau du système d'exploitation.
-y, --yes	false	Ignorez les invites de confirmation interactives ([y/N]) pour les actions d'outils et l'exécution d'exploits PoC. Les commandes restent contenues dans le conteneur de bac à sable au niveau du système d'exploitation (exebox).