Memindai dan memverifikasi kerentanan kode

Pratinjau

Produk atau fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum di Persyaratan Khusus Layanan, dan Persyaratan Tambahan untuk Produk Pratinjau AI Generatif. Produk dan fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Produk pra-GA berada dalam berbagai tahap pengujian dan peninjauan internal. Oleh karena itu, pelanggan harus mengawasi penggunaan CodeMender dengan cermat, dan tidak menggunakan CodeMender dalam situasi saat error serius tidak dapat diperbaiki. Produk ini disediakan untuk Pelanggan semata-mata untuk pengujian dan evaluasi terbatas, dan tidak boleh digunakan untuk tujuan komersial atau produksi.

Anda hanya boleh menggunakan CodeMender untuk menganalisis (i) kode sumber yang Anda miliki atau diizinkan untuk digunakan atau (ii) kode open source yang didistribusikan berdasarkan lisensi yang disetujui OSI. Anda harus menggunakan penawaran ini semata-mata untuk tujuan pertahanan keamanan yang sah (dan bukan untuk pengujian, eksploitasi, atau serangan cyber yang tidak sah) sesuai dengan Kebijakan Penggunaan yang Dapat Diterima Google Cloud dan Kebijakan Penggunaan Terlarang untuk AI Generatif. Saat menggunakan CodeMender yang dibuat dengan model Gemini Cyber atau Gemini Frontier Cyber, akses dan penggunaan model tersebut oleh Anda juga diatur oleh Pasal 31 Persyaratan Khusus Layanan.

Saat menonaktifkan konfirmasi tindakan tulis dan eksekusi alat oleh manusia (seperti yang dijelaskan dalam parameter file konfigurasi), Pelanggan bertanggung jawab atas modifikasi tersebut berdasarkan Pasal 20(j) ("Mengubah, Mengabaikan, atau Menonaktifkan Filter Keamanan") Persyaratan Khusus Layanan. Pelanggan setuju untuk tidak secara otomatis mengabaikan atau mengakali respons lain yang memerlukan konfirmasi manusia.

CodeMender memungkinkan Anda memindai codebase secara proaktif untuk menemukan kelemahan software dan menjalankan eksploitasi bukti konsep (PoC) di sandbox lokal untuk mengonfirmasi eksploitasi dan menghilangkan positif palsu.

Memindai kerentanan

Untuk menjalankan pemindaian keamanan cepat di seluruh codebase Anda, jalankan cm find. Pindai modul yang ditargetkan atau batch yang berisi 10 hingga 50 file sekaligus untuk mendapatkan performa yang optimal.

Memindai subdirektori tertentu:

cm find ./src/auth/

Hanya memindai file yang diubah dalam subdirektori:

cm find --diff ./src/auth/

Memindai satu file:

cm find ./src/auth/session_manager.py

Lewati perintah persetujuan interaktif selama pemindaian:

cm find ./src/auth/ -y

Untuk mengetahui informasi selengkapnya tentang cara memindai permintaan pull dengan --diff atau menjalankan pemindaian multi-sesi yang mendalam dengan --deep, lihat Mode pencarian CodeMender dan Mengintegrasikan dengan CI/CD.

Memverifikasi kerentanan

Peringatan: CodeMender menjalankan perintah dan dapat mengubah file secara langsung di sistem host Anda. Secara default, perintah ini berjalan di dalam sandbox tingkat proses lokal. Jika Anda menonaktifkan sandbox (di config.yaml atau menggunakan flag --sandbox=false) atau mengabaikannya (menggunakan flag --unrestricted), jalankan CLI di VM atau container yang terisolasi untuk melindungi sistem host Anda.

Setelah CodeMender mengidentifikasi potensi kerentanan, minta CodeMender untuk memverifikasi kemungkinan eksploitasi. Selama verifikasi, CodeMender membuat dan menjalankan eksploitasi bukti konsep (PoC) (di dalam sandbox default) untuk mengonfirmasi apakah masalah tersebut benar-benar dapat dieksploitasi.

Temukan finding-id dari output cm report atau cm find, lalu jalankan:

cm verify FINDING_ID

Tanda verifikasi

Flag berikut mengonfigurasi cm verify:

Flag	Default	Deskripsi
-c, --context TEXT	""	Teruskan petunjuk pengarahan atau konteks domain aplikasi untuk memandu agen (misalnya, cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path").
--skip-exploit-verification	false	Tandai temuan dengan keyakinan tinggi sebagai terverifikasi tanpa menjalankan ulang skrip eksploitasi PoC setelah agen verifikasi selesai. Agen tetap membuat dan menjalankan eksploitasi PoC selama verifikasi.
--sandbox	true	Aktifkan atau nonaktifkan sandbox secara eksplisit untuk proses ini (misalnya, --sandbox=false untuk menonaktifkan).
--unrestricted	false	Mengabaikan sementara semua perlindungan sandbox untuk operasi ini, sehingga menonaktifkan batas sistem file dan isolasi container tingkat OS.
-y, --yes	false	Lewati perintah konfirmasi interaktif ([y/N]) untuk tindakan alat dan eksekusi eksploitasi PoC. Perintah tetap berada di dalam penampung sandbox tingkat OS (exebox).