前提条件
- Code Audit が利用可能な環境と、ワークスペースの Cyber 実行権限。
- 対象のリポジトリとブランチにアクセスできる接続済み Git プロバイダー。
- ソースを監査する権限。Pentest アプリ、URL、DNS 証明、アプリのログイン情報は不要です。
Code Audit は Pentest と独立して無効にできます。表示されない場合は管理者に利用可否を確認してください。
監査を開始する
1
ソースを選ぶ
Cyber → Code Audit → New code audit を開きます。Source でリポジトリを検索し、ブランチを選びます。Review settings のリポジトリから Run Code Audit を使うこともできます。事前選択されたソースを確認してください。
2
確認して実行する
Review audit でソースとチェックを確認し、Start Code Audit を押します。完了状態: レポートが開き、SAST、Security review、Verification の進行が表示されます。実行中にブランチが変わっても固定したコミットを評価します。
結果を読む
SAST はソースの静的なセキュリティチェックです。セキュリティレビューがコードの動作から候補を見つけ、検証がその証拠を評価します。
発見事項を開き、影響、修復、条件、制限、証拠、評価したコミットのソース位置を確認します。ソースの評価だけでは実行中のアプリでの悪用を証明できません。
完了しても全ファイルの解析を意味しません。失敗したチェック、除外されたファイル、不確かな検証を確認してください。
ブランチと予約を管理する
追跡ブランチは完了した監査の発見事項を保持します。過去のレポートの証拠は変わりません。失敗や取り消しでは公開済みの結果を置き換えません。 Run now で再評価します。全体評価の時期でない場合、変更のないコミットは省略されることがあります。Full rescan は全体評価を要求します。増分チェックには成功した基準点が必要です。 繰り返しとタイムゾーンを設定するか、Audit when commits are pushed to this branch を有効にします。保存した自動化から予約を編集、無効化、削除できます。待機中は完了ではありません。発見事項を処理する
Table と Kanban の切り替えでフィルターは保持されます。カードのドラッグで判定は変更できません。Show false positives で既定では非表示の Not confirmed 項目を表示できます。 Create PR with agent または Fix findings は修正の会話を開きます。View / manage issues はチケットを作成または開きます。Viewer は既存チケットの閲覧のみできます。修正の作成、関連付け、マージで以前の判定は変わりません。新しい監査で修正コミットを評価してください。次のステップ
ライブラリを監視する
アドバイザリとアプリへの影響を確認します
ペンテストを実行する
実行中のアプリの動作をテストします