Alcune o tutte le informazioni in questa pagina potrebbero non essere applicabili a Cloud de Confiance di S3NS. Per maggiori dettagli, consulta Differenze rispetto a Google Cloud.

Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Scansiona e verifica le vulnerabilità del codice

Anteprima

Questo prodotto o questa funzionalità sono soggetti ai "Termini dell'offerta pre-GA" nella sezione Termini di servizio generali dei Termini specifici dei servizi e ai Termini aggiuntivi per i prodotti in anteprima dell'AI generativa. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

I prodotti pre-GA si trovano in varie fasi di test e revisione interni. Pertanto, i clienti devono supervisionare attentamente l'utilizzo di CodeMender e non utilizzarlo in situazioni in cui non è possibile correggere errori gravi. Questo prodotto viene reso disponibile ai Clienti esclusivamente per test e valutazioni limitati e non può essere utilizzato per scopi commerciali o di produzione.

Puoi utilizzare CodeMender solo per analizzare (i) il codice sorgente di tua proprietà o che hai l'autorizzazione di utilizzare o (ii) il codice open source distribuito con una licenza approvata da OSI. Devi utilizzare questa offerta esclusivamente per scopi legittimi di difesa della sicurezza (e non per test, exploit o attacchi informatici non autorizzati) in conformità con le Norme di utilizzo accettabile di Google Cloud e le Norme relative all'uso vietato dell'AI generativa. Quando utilizzi CodeMender creato con un modello Gemini Cyber o Gemini Frontier Cyber, l'accesso e l'utilizzo di questi modelli sono regolati anche dalla Sezione 31 dei Termini specifici dei servizi.

Quando disattiva la conferma umana delle azioni di scrittura e di esecuzione degli strumenti (come descritto nei parametri del file di configurazione), il Cliente è responsabile di tale modifica ai sensi della Sezione 20(j) ("Modifica, ignoranza o disattivazione dei filtri di sicurezza") dei Termini specifici dei servizi. Il cliente accetta di non bypassare o aggirare automaticamente altre risposte che richiedono la conferma umana.

CodeMender ti consente di analizzare in modo proattivo il tuo codebase alla ricerca di punti deboli del software ed eseguire exploit proof of concept (PoC) nella tua sandbox locale per confermare la possibilità di exploit ed eliminare i falsi positivi.

Analizza per rilevare vulnerabilità

Per analizzare il codebase alla ricerca di vulnerabilità, esegui cm find. Per impostazione predefinita, cm find esegue una scansione approfondita simultanea file per file nel percorso di destinazione. Per una scansione più rapida di una singola sessione, passa il flag --quick.

Scansiona una sottodirectory specifica:

cm find ./src/auth/

Esegui una scansione rapida più veloce in una singola sessione su una sottodirectory:

cm find ./src/auth/ --quick

Esegui la scansione solo dei file modificati in una sottodirectory:

cm find --diff ./src/auth/

Scansiona un singolo file:

cm find ./src/auth/session_manager.py

Salta le richieste di approvazione interattive durante la scansione:

cm find ./src/auth/ -y

Per ulteriori informazioni sulle scansioni approfondite predefinite, sulla scansione delle richieste di pull con --diff o sull'esecuzione di scansioni di una singola sessione con --quick, consulta Modalità di ricerca di CodeMender e Integrazione con CI/CD.

Verifica le vulnerabilità

Una volta che CodeMender ha identificato le potenziali vulnerabilità, chiedigli di verificare la possibilità di exploit. Durante la verifica, CodeMender genera ed esegue un exploit proof of concept (PoC) (all'interno della sandbox predefinita) per confermare se il problema è effettivamente sfruttabile.

Individua finding-id dall'output di cm report o cm find, quindi esegui:

cm verify FINDING_ID

Flag di verifica

I seguenti flag configurano cm verify:

Flag	Predefinito	Descrizione
`-c, --context TEXT`	`""`	Passa le istruzioni di indirizzamento o il contesto del dominio dell'applicazione per guidare l'agente (ad esempio, `cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path"`).
`--skip-exploit-verification`	`false`	Contrassegna i risultati con un alto livello di confidenza come verificati senza eseguire nuovamente lo script di exploit PoC al termine dell'agente di verifica. L'agente genera ed esegue comunque un exploit PoC durante la verifica.
`--sandbox`	`true`	Attiva o disattiva esplicitamente la sandbox per questa esecuzione (ad esempio, `--sandbox=false` per disattivarla).
`--unrestricted`	`false`	Bypassa temporaneamente tutte le protezioni della sandbox per questa esecuzione, disattivando i limiti del file system e l'isolamento dei container a livello di sistema operativo.
`-y, --yes`	`false`	Salta i prompt di conferma interattivi (`[y/N]`) per le azioni degli strumenti e l'esecuzione di exploit PoC. I comandi rimangono contenuti all'interno del container della sandbox a livello di sistema operativo (`exebox`).