Alcune o tutte le informazioni in questa pagina potrebbero non essere applicabili a Cloud de Confiance di S3NS. Per maggiori dettagli, consulta Differenze rispetto a Google Cloud.

Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Scansiona e verifica le vulnerabilità del codice

Anteprima

Questo prodotto o funzionalità è soggetto ai "Termini delle Offerte pre-GA" nella sezione Termini di servizio generali dei Termini di servizio specifici, e ai Termini aggiuntivi per i prodotti in anteprima dell'AI generativa. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

I prodotti pre-GA sono in varie fasi di test e revisione interni. Pertanto, i clienti devono supervisionare attentamente l'utilizzo di CodeMender e non utilizzarlo in situazioni in cui non è possibile correggere errori gravi. Questo prodotto viene messo a disposizione dei clienti esclusivamente per test e valutazioni limitati e non può essere utilizzato per scopi commerciali o di produzione.

Puoi utilizzare CodeMender solo per analizzare (i) il codice sorgente di cui sei proprietario o che sei autorizzato a utilizzare o (ii) il codice open source distribuito con una licenza approvata da OSI. Devi utilizzare questa offerta esclusivamente per scopi legittimi di difesa della sicurezza (e non per test, sfruttamento o attacchi informatici non autorizzati) in conformità con le Norme di utilizzo accettabile di Google Cloud e le Norme relative all'uso vietato dell'AI generativa. Quando utilizzi CodeMender creato con un modello Gemini Cyber o Gemini Frontier Cyber, l'accesso e l'utilizzo di questi modelli sono regolati anche dalla Sezione 31 dei Termini di servizio specifici.

Quando il cliente disabilita la conferma umana delle azioni di scrittura ed esecuzione degli strumenti (come descritto nei parametri del file di configurazione), è responsabile di questa modifica ai sensi della Sezione 20(j) ("Modifica, ignorare o disabilitare i filtri di sicurezza") dei Termini di servizio specifici. Il cliente accetta di non bypassare o aggirare automaticamente altre risposte che richiedono la conferma umana.

CodeMender ti consente di eseguire la scansione proattiva del codebase per rilevare le debolezze del software ed eseguire exploit di proof-of-concept (PoC) nella sandbox locale per confermare la possibilità di sfruttamento ed eliminare i falsi positivi.

Eseguire la scansione per rilevare le vulnerabilità

Per eseguire una scansione di sicurezza rapida nel codebase, esegui cm find. Per prestazioni ottimali, esegui la scansione di moduli o batch mirati di 10-50 file alla volta.

Eseguire la scansione di una sottodirectory specifica:

cm find ./src/auth/

Eseguire la scansione solo dei file modificati in una sottodirectory:

cm find --diff ./src/auth/

Eseguire la scansione di un singolo file:

cm find ./src/auth/session_manager.py

Saltare le richieste di approvazione interattiva durante la scansione:

cm find ./src/auth/ -y

Per ulteriori informazioni sulla scansione delle richieste di pull con --diff o sull'esecuzione di scansioni approfondite multi-sessione con --deep, consulta le modalità di ricerca di CodeMender e l'integrazione con CI/CD.

Verificare le vulnerabilità

Una volta che CodeMender identifica le potenziali vulnerabilità, chiedi di verificarne la possibilità di sfruttamento. Durante la verifica, CodeMender genera ed esegue un exploit di proof-of-concept (PoC) (all'interno della sandbox predefinita) per confermare se il problema è effettivamente sfruttabile.

Individua finding-id nell'output di cm report o cm find, quindi esegui:

cm verify FINDING_ID

Flag di verifica

I seguenti flag configurano cm verify:

Flag	Predefinito	Descrizione
`-c, --context TEXT`	`""`	Trasmetti istruzioni di guida o contesto del dominio dell'applicazione per guidare l'agente (ad esempio, `cm verify FINDING_ID -c "Focus analysis on the multi-tenant session validation path"`).
`--skip-exploit-verification`	`false`	Contrassegna i risultati ad alta affidabilità come verificati senza eseguire di nuovo lo script di exploit PoC al termine dell'agente di verifica. L'agente genera ed esegue comunque un exploit PoC durante la verifica.
`--sandbox`	`true`	Abilita o disabilita esplicitamente la sandbox per questa esecuzione (ad esempio, `--sandbox=false` per disabilitarla).
`--unrestricted`	`false`	Bypassa temporaneamente tutte le protezioni della sandbox per questa esecuzione, disabilitando i limiti del file system e l'isolamento dei container a livello di sistema operativo.
`-y, --yes`	`false`	Salta le richieste di conferma interattiva (`[y/N]`) per le azioni degli strumenti e l'esecuzione degli exploit PoC. I comandi rimangono contenuti all'interno del container sandbox a livello di sistema operativo (`exebox`).