Einige oder alle Informationen auf dieser Seite gelten möglicherweise nicht für Cloud de Confiance von S3NS. Weitere Informationen finden Sie unter Unterschiede zu Google Cloud.

Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Code auf Sicherheitslücken scannen und diese bestätigen

Vorschau

Dieses Produkt oder diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen und den Zusatzbedingungen für Vorschauprodukte auf Basis von generativer KI. Pre-GA-Produkte und ‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie in den Beschreibungen der Produkteinführungsphasen.

Pre-GA-Produkte befinden sich in verschiedenen Phasen der internen Tests und Überprüfung. Daher sollten Kunden die Verwendung von CodeMender genau überwachen und CodeMender nicht in Situationen verwenden, in denen schwerwiegende Fehler nicht korrigiert werden können. Dieses Produkt wird Kunden ausschließlich für begrenzte Tests und Evaluierungen zur Verfügung gestellt und darf nicht für kommerzielle oder Produktionszwecke verwendet werden.

Sie dürfen CodeMender nur verwenden, um (i) Quellcode zu analysieren, den Sie besitzen oder zu dessen Verwendung Sie berechtigt sind, oder (ii) Open-Source-Code, der unter einer von der OSI genehmigten Lizenz vertrieben wird. Sie dürfen dieses Angebot nur für legitime Sicherheitszwecke (und nicht für unbefugte Tests, Exploits oder Cyberangriffe) gemäß der Richtlinie zur zulässigen Verwendung von Google Cloud und der Richtlinie zur unzulässigen Nutzung von generativer KI verwenden. Wenn Sie CodeMender verwenden, das mit einem Gemini Cyber- oder Gemini Frontier Cyber-Modell erstellt wurde, unterliegt Ihr Zugriff auf diese Modelle und deren Nutzung auch Abschnitt 31 der dienstspezifischen Nutzungsbedingungen.

Wenn die menschliche Bestätigung von Schreib- und Toolausführungsaktionen deaktiviert wird (wie in den Parametern der Konfigurationsdatei beschrieben), ist der Kunde gemäß Paragraf 20(j) („Sicherheitsfilter ändern, ignorieren oder deaktivieren“) der dienstspezifischen Nutzungsbedingungen für diese Änderung verantwortlich. Der Kunde verpflichtet sich, andere Antworten, die eine menschliche Bestätigung erfordern, nicht automatisch zu umgehen.

Mit CodeMender können Sie Ihre Codebasis proaktiv auf Softwareschwachstellen scannen und Proof of Concept-Exploits (PoC) in Ihrer lokalen Sandbox ausführen, um die Ausnutzbarkeit zu bestätigen und falsch positive Ergebnisse zu eliminieren.

Nach Sicherheitslücken suchen

Führen Sie cm find aus, um Ihre Codebasis auf Sicherheitslücken zu scannen. Standardmäßig führt cm find einen gleichzeitigen, dateiweisen Deep Scan im Zielpfad aus. Übergeben Sie das Flag --quick, um einen schnelleren Scan einer einzelnen Sitzung durchzuführen.

Bestimmtes Unterverzeichnis scannen:

cm find ./src/auth/

Führen Sie einen schnelleren Schnellscan für eine einzelne Sitzung in einem Unterverzeichnis aus:

cm find ./src/auth/ --quick

Nur die geänderten Dateien in einem Unterverzeichnis scannen:

cm find --diff ./src/auth/

Einzelne Datei scannen:

cm find ./src/auth/session_manager.py

Interaktive Genehmigungsaufforderungen während des Scans überspringen:

cm find ./src/auth/ -y

Weitere Informationen zu standardmäßigen Deep Scans, zum Scannen von Pull-Anfragen mit --diff oder zum Ausführen von Scans mit einer einzelnen Sitzung mit --quick finden Sie unter CodeMender-Suchmodi und In CI/CD einbinden.

Sicherheitslücken prüfen

Sobald CodeMender potenzielle Sicherheitslücken identifiziert hat, bitten Sie das Tool, die Ausnutzbarkeit zu prüfen. Während der Überprüfung generiert und führt CodeMender einen Proof of Concept (PoC)-Exploit (in der Standard-Sandbox) aus, um zu bestätigen, ob das Problem tatsächlich ausgenutzt werden kann.

Suchen Sie in der Ausgabe von cm report oder cm find nach finding-id und führen Sie dann Folgendes aus:

cm verify FINDING_ID

Bestätigungs-Flags

Mit den folgenden Flags wird cm verify konfiguriert:

Flag	Standardeinstellung	Beschreibung
`-c, --context TEXT`	`""`	Übergeben Sie Steuerungsanweisungen oder Kontext zur Anwendungsdomain, um den Agenten zu steuern (z. B. `cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path"`).
`--skip-exploit-verification`	`false`	Ergebnisse mit hoher Konfidenz als verifiziert markieren, ohne das PoC-Exploit-Skript nach Abschluss des Verifizierungs-Agents noch einmal auszuführen. Der Agent generiert und führt während der Überprüfung weiterhin einen PoC-Exploit aus.
`--sandbox`	`true`	Aktivieren oder deaktivieren Sie die Sandbox explizit für diese Ausführung (z. B. `--sandbox=false` zum Deaktivieren).
`--unrestricted`	`false`	Alle Sandbox-Schutzmaßnahmen für diese Ausführung werden vorübergehend umgangen, wodurch Dateisystemgrenzen und die Containerisolation auf Betriebssystemebene deaktiviert werden.
`-y, --yes`	`false`	Interaktive Bestätigungsaufforderungen (`[y/N]`) für Toolaktionen und die Ausführung von PoC-Exploits überspringen. Befehle bleiben im Sandbox-Container auf Betriebssystemebene (`exebox`).