Bảo mật Codex

Codex Security là một bản xem trước nghiên cứu có sẵn cho người dùng ChatGPT Enterprise, Edu, Business và Pro. Nó giúp các nhóm xác định, xác thực và khắc phục các lỗ hổng trong mã. Nó được thiết kế để hoạt động giống như một nhà nghiên cứu bảo mật hơn là một công cụ quét truyền thống: nó đọc mã, chạy các bài kiểm tra, khám phá các đường tấn công thực tế và đề xuất các bản vá mà các nhóm có thể xem xét trong quy trình làm việc bình thường của họ.

Tổng quan

Codex Security kết nối với các kho lưu trữ GitHub và xây dựng một mô hình mối đe dọa phù hợp với cơ sở mã của bạn. Bạn có thể quét toàn bộ kho lưu trữ hoặc quét các lần cam kết. Codex Security điều tra các lỗ hổng tiềm ẩn, cố gắng xác thực chúng trong một môi trường cách ly, và đề xuất các bản sửa lỗi để nhóm của bạn xem xét.

Cách thức hoạt động của Codex Security

Codex Security sử dụng một mô hình mối đe dọa để hướng dẫn phân tích của mình. Mô hình này mô tả các điểm xâm nhập của kẻ tấn công, ranh giới tin cậy, dữ liệu nhạy cảm và các đường dẫn mã quan trọng. Bạn có thể kiểm tra và chỉnh sửa nó để phản ánh cách ứng dụng của bạn được triển khai. Các quét toàn bộ kho đánh giá cơ sở mã, trong khi các quét cam kết kiểm tra các thay đổi trong kho.

Chạy quét

Chọn quét toàn bộ kho lưu trữ hoặc quét theo commit và cho phép quá trình quét hoàn tất. Codex Security sử dụng mô hình mối đe dọa của kho lưu trữ để điều tra các lỗ hổng tiềm ẩn.

Sử dụng trả phí

Codex Security Cloud sử dụng thanh toán dựa trên token. Khách hàng hiện tại sẽ nhận thông báo và phải đồng ý trước khi bắt đầu sử dụng có tính phí.

Nếu không có kinh phí cho việc quét, việc quét sẽ tạm dừng. Xem lại thông báo thanh toán và kinh phí hiện có trước khi tiếp tục quét trả phí.

Truy cập Daybreak Blue

Truy cập Daybreak Blue kèm theo Codex Security Cloud áp dụng trong sản phẩm Cloud. Nó không cấp quyền truy cập vào Daybreak Blue trong các sản phẩm Codex Security khác hoặc thông qua API.

Bắt đầu

1. Đi đếnBảo mật Codex.

2. Kết nối và bật các kho GitHub mà bạn muốn Codex Security quét.

3. Chờ quét ban đầu hoàn tất. Codex Security trước tiên xây dựng một mô hình mối đe dọa cho dự án và quét lịch sử kho lưu trữ để tìm các lỗ hổng hiện có. Điều này có thể mất nhiều thời gian hơn đối với các dự án lớn. Việc quét mã mới sẽ nhanh hơn.

4. Xem xét các phát hiện, chi tiết xác thực và các bản vá được đề xuất.

Kiểm soát truy cập dựa trên vai trò (RBAC)

Đối với các không gian làm việc Enterprise và Edu, quản trị viên có thể quản lý quyền truy cập Codex Security trong quyền của không gian làm việc. Codex Security yêu cầu cả quyền truy cập Codex Cloud và Codex Security phải được bật cho không gian làm việc. Quyền truy cập cũng có thể bị giới hạn cho các vai trò hoặc nhóm cụ thể thông qua RBAC, bao gồm cả các nhóm được đồng bộ đồng bộ tài khoản (SCIM). Để cho phép các thành viên quản lý cấu hình quét Codex Security, cũng cần bật quyền quản trị Codex Security cho vai trò hoặc nhóm phù hợp.

Để cập nhật quyền hạn của không gian làm việc của bạn:

1. Trong ChatGPT, chọn biểu tượng hồ sơ của bạn, sau đó chọnCài đặt không gian làm việc>Quyền hạnmởquyền truy cập không gian làm việc.

2. Cuộn xuốngĐám mây Codex.

3. Đảm bảo quyền truy cập Codex Cloud được bật.

4. Bật hoặc tắt quyền truy cập bằng cách chuyển đổiCho phép thành viên sử dụng Bảo mật Codex.

5. Nếu vai trò hoặc nhóm nên quản lý cấu hình quét, cũng hãy bậtCho phép các thành viên quản lý An ninh Codex.

Tìm hiểu thêm vềkiểm soát truy cập dựa trên vai trò trong không gian làm việc ChatGPT của bạn.

Thực hành tốt nhất

• Bắt đầu với một tập hợp nhỏ các kho lưu trữ và một nhóm đánh giá viên chuyên dụng. Chúng tôi khuyên nên triển khai tập trung ban đầu, đặc biệt là khi việc đào tạo và chia sẻ lỗ hổng vẫn còn khá thủ công.

• Tinh chỉnh mô hình mối đe dọa khi bạn học hỏi. Các cập nhật nhỏ cho mô hình có thể cải thiện bối cảnh và làm cho các phát hiện chính xác hơn theo thời gian.

• Nếu bạn chưa sử dụng GitHub Cloud hôm nay, hãy cân nhắc bắt đầu với các kho lưu trữ ít rủi ro hoặc không thuộc môi trường sản xuất để đánh giá. Điều đó có thể giúp các nhóm xây dựng sự tự tin trong quy trình làm việc trước khi áp dụng rộng rãi.

• Xem xét các PR patch được tạo ra theo quy trình xem xét thông thường của bạn. Chúng tôi cũng khuyên bạn nên sử dụng Codex Code Review trên các PR Bảo mật Codex để việc khắc phục không gây ra các lỗi lặp lại.

Câu hỏi thường gặp

Codex Security có tự động thay đổi mã của tôi không?

Không. Codex Security đề xuất một bản vá để con người xem xét. Đề xuất đó có thể được chuyển thành một yêu cầu kéo, nhưng nó không tự động chỉnh sửa mã của bạn.

Codex Security có dựa vào fuzzing hay quét dựa trên chữ ký không?

Không. Codex Security đang sử dụng lập luận dựa trên mô hình ngôn ngữ, tính toán thời gian thử nghiệm, sử dụng công cụ và ngữ cảnh lớn, thay vì quét dựa trên fuzzing hoặc chữ ký.

Tôi có thể xem xét hoặc chỉnh sửa mô hình mối đe dọa không?

Vâng. Mô hình mối đe dọa có thể nhìn thấy và chỉnh sửa được, vì vậy các nhóm có thể kiểm tra cách Codex Security hiểu ứng dụng và cập nhật các giả định để phù hợp với môi trường của họ.

Xác thực có nghĩa là gì?

Xác thực là bước mà Codex Security cố gắng tái tạo một lỗ hổng tiềm ẩn trong một môi trường tách biệt trước khi đưa nó ra. Điều này nhằm giảm các kết quả dương tính giả và giữ cho các phát hiện có tính tín hiệu cao.

Điều gì xảy ra sau khi một phát hiện được xác thực?

Sau khi xác thực, Codex Security đề xuất một bản vá khắc phục nguyên nhân gốc rễ và có thể được chuyển thành một yêu cầu kéo để xem xét.