A CodeRabbit Secure már több repón át keresi a sérülékenységeket

A teljes kódbázistól a folyamatos ellenőrzésig

A CodeRabbit október 27-i közleménye szerint a CodeRabbit Secure augusztusban indult az alkalmazásspecifikus sérülékenységek felderítésére. A biztonságra kialakított ügynökök szemantikai elemzést használnak, és a támadók megközelítéséhez hasonlóan keresik a gyenge pontokat, majd a fejlesztőknek a javításban is segítséget adnak.

A rendszer a pull request megnyitásakor átnézi annak módosításait. A Deep Scan ennél szélesebb képet ad: a repozitóriumban már korábban rögzített kódot is megvizsgálja, támadási útvonalakat követ, és biztonsági alapállapotot hoz létre. Így olyan kockázatok is előkerülhetnek, amelyek hónapokkal vagy évekkel korábban kerültek a kiadott kódba.

A változások beolvasztása után a Delta Scans csak a módosult fájlokat és azokat a területeket ellenőrzik újra, amelyeknél a korábbi ellenőrzés elavulttá vált. A CodeRabbit szerint ezzel a lefedettség követheti a kód változásait anélkül, hogy minden alkalommal teljes vizsgálatot kellene indítani.

A Deep Scan összekapcsolt repozitóriumokat is olvas

A produkciós rendszerek gyakran több repozitóriumból állnak. Ha egy kérés szolgáltatások vagy megosztott könyvtárak között halad, egyetlen repó vizsgálata nem mindig mutatja meg, honnan érkezett a kérés, illetve hol találhatók az alkalmazandó védelmi intézkedések.

Az új Deep Scan legfeljebb 20, összekapcsolt repozitóriumból olvashat a csomagkorlátoktól függően. A kiválasztott repozitórium marad a vizsgálat célpontja, a többi csak kiegészítő kontextust biztosít, önálló vizsgálatot nem kap. A kapcsolatokat a CodeRabbit korábbi kódellenőrzések alapján is felismerheti, de a csapatok kézzel is megadhatják őket, és megjegyzést fűzhetnek a kapcsolat jellegéhez.

A funkció a Deep Scan részeként GitHub Cloud, GitHub Enterprise Server és GitLab Cloud környezetben érhető el. A CodeRabbit szerint az összekapcsolt repók adatai segíthetnek figyelembe venni a más szolgáltatásokban található védelmet, így csökkenhet a téves riasztások száma.

Sandboxos ellenőrzés és kontrollált javítás

A Deep Scan minden megállapítása ellenőrző ügynökön megy keresztül, amely újranyitja a hivatkozott kódot, megvizsgálja az elérhetőséget, és más védelmi intézkedéseket is keres. A runtime verification erre további bizonyítékot épít: a jogosult megállapításoknál a CodeRabbit egy eldobható sandboxban lejátssza a kihasználási kísérletet, éles rendszerek érintése nélkül.

Az eredmény reprodukciós lépéseket és a futtatás bizonyítékait tartalmazza. Ez segíthet a biztonsági mérnököknek gyorsabban rangsorolni a hibákat, a fejlesztőknek pedig eldönteni, mely problémákat kell először javítani.

A csapatok költségkeretet is beállíthatnak. Ha a Deep Scan eléri a megadott limitet, leáll, majd később onnan folytatható, ahol abbamaradt. A talált hibák újraellenőrizhetők az alapértelmezett ág aktuális állapotán, a már kijavított problémákat pedig a CodeRabbit automatikusan igazolja és lezárja a javítás beolvasztása után.

Kritikus hibánál a merge is megállhat

A CodeRabbit Secure új Security Check funkciója lehetővé teszi, hogy a repozitórium-adminisztrátorok blokkolják a pull request merge-elését, ha nyitott kritikus biztonsági megállapítás maradt benne. A funkció natív GitHub-ellenőrzésként működik, és addig sikertelen állapotot jelez, amíg a CodeRabbit nem igazolja a javítást.

Alapértelmezés szerint a látható, kritikus besorolású biztonsági megjegyzések okoznak sikertelen ellenőrzést, de más súlyossági küszöb is választható. A merge tényleges blokkolásához a repozitórium-adminisztrátornak a CodeRabbit Security ellenőrzést kötelező ellenőrzésként kell hozzáadnia egy ág- vagy szabályrendszerhez. Egy GitHub-szál lezárása önmagában nem oldja fel a blokkolást, az csak a javítás ellenőrzése után szűnik meg.

A CodeRabbit Security Check jelenleg GitHubon működik, a közlemény szerint más platformok támogatása a későbbi tervek között szerepel. A vállalat hangsúlyozza, hogy a Secure a meglévő statikus ellenőrzések mellett működik, és olyan összefüggéseket próbál feltárni, amelyekhez a rögzített szabályok önmagukban nem adnak választ.