exploit-proof
Amaç
Merge'den önce kullanıcının kendi deposundaki bir değişikliğin (çalışma ağacı, branch veya pull request) savunma amaçlı güvenlik incelemesi.
Kaynak Skill amacı
Ne zaman kullanılır
Merge'den önce kullanıcının kendi deposundaki değişiklikleri savunma amaçlı güvenlik incelemesine almak için exploit-proof kullanılır. Değişmiş giriş noktalarından güvenilmeyen veriyi sorgular, kabuk çağrıları, yollar, HTML, dış istekler, seri durumdan çıkarma ve yetkilendirme gibi hassas işlemlere kadar izler. Aday ancak somut iz veya güvenli yeniden üretim ve bağımsız çürütme denemesinden sonra bulgu olur. Bağımlılık incelemesi değişikliği planla karşılaştırır ve projenin denetim çıktısını kullanır. Şüpheler doğrulanmış açıklardan ayrı kalır.
Kaynak Skill amacı
Nasıl çalışır
Kaynak Skill akışı
- Hedefi belirle İncelemeden önce temel ve son sürümü, değişen satırları ve çalışma ağacı durumunu kaydet.
Kaynak Skill akışı
- Giriş noktalarını listele Güvenilmeyen veri alan değişmiş yerleri ve bunlardan erişilen işlevleri belirle.
Kaynak Skill akışı
- Hassas işlemleri izle Her girişten değişmiş hassas işleme kadar ilerle; aday çıkarmadan önce güvenli biçimleri denetle.
Kaynak Skill akışı
- Adayları izle Somut girdiyi her koruma ve kaynak konumundan geçir; belirsizlik varsa şüphe olarak bırak.
Kaynak Skill akışı
- Güvenle yeniden üret İzlenen aday güvenle çalıştırılabiliyorsa projenin testlerini geçici çalışma ağacında kullan.
Kaynak Skill akışı
- Çürütmeyi dene Bulguyu kabul etmeden önce korumaları, erişilebilirliği ve yeniden üretimi bağımsız denetle.
Kaynak Skill akışı
- Doğrulanmış bulguları bildir Bulgu belgesini doğrula ve kesinleşmiş açıkları şüphelerden ayrı raporla.
Kaynak Skill akışı
Temel kurallar
- Yalnızca adı verilen depo ve hedef sürümleri incele; yayındaki veya üçüncü taraf sistemi yoklama.
Kaynak Güvenlik kuralları
- Gerçek kimlik bilgilerini okuma veya kullanma; kanıt gerekirse sahte değer üret.
Kaynak Güvenlik kuralları
- En az gerekli kanıtı yerelde tut; incelenen veriyi makinenin dışına gönderme.
Kaynak Güvenlik kuralları
- Bulgu bildirmeden önce çürütme denemesini aşmış somut iz veya yeniden üretim iste.
Kaynak Kanıt kuralları
- Her kesinleşmiş bulguya ağırlık ve kimin hangi verisini etkileyebileceğini söyleyen somut cümle ekle.
Kaynak Kanıt kuralları
Çıktı ve gate
Çıktı
- Doğrulanmış bulguları, raporu, günlüğü ve en az gerekli kanıtı inceleme çıktı klasörüne yaz.
Kaynak Çıktı tanımı
gate
- Doğrulanmış açık güvenlik bulgusu incelemeyi başarısız yapar.
Kaynak Gate kuralı: SECURITY
- Açık bulgu yoksa doğrulanmış güvenlik incelemesi geçer; şüpheler kararı değiştirmez.
Kaynak Gate kuralı: SECURITY
- Çözülemeyen hedef, geçersiz rapor veya eksik gerekli yetenek incelemeyi engeller.
Kaynak Gate kuralı: SECURITY
Kaynak
Kaynak Skill tanımı