Điều kiện cần
- Code Audit khả dụng trong hệ thống và quyền chạy Cyber trong workspace.
- Kết nối Git có quyền truy cập kho mã và nhánh cần kiểm tra.
- Quyền kiểm tra mã nguồn. Không cần ứng dụng Pentest, URL, xác minh DNS hay đăng nhập ứng dụng.
Code Audit có thể bị tắt độc lập với Pentest. Nếu không thấy tính năng, hỏi quản trị viên về khả năng sử dụng.
Bắt đầu
1
Chọn mã nguồn
Mở Cyber → Code Audit → New code audit. Ở Source, tìm kho mã và chọn nhánh.Bạn cũng có thể dùng Run Code Audit từ kho mã trong Review settings. Kiểm tra lại kho mã và nhánh được chọn sẵn.
2
Kiểm tra và chạy
Nhấn Review audit, xác nhận nguồn và các kiểm tra, rồi nhấn Start Code Audit.Kết quả: báo cáo mở và hiển thị SAST, Security review, Verification. Lần kiểm tra dùng một commit cố định dù nhánh thay đổi khi đang chạy.
Đọc kết quả
SAST là kiểm tra bảo mật ứng dụng bằng phân tích tĩnh. Rà soát bảo mật tạo các đầu mối từ hành vi mã; xác minh đánh giá bằng chứng của chúng.
Mở phát hiện để đọc tác động, cách sửa, điều kiện, giới hạn, bằng chứng và vị trí trong commit đã kiểm tra. Đánh giá mã nguồn không tự chứng minh khai thác trên ứng dụng đang chạy.
Hoàn tất không có nghĩa mọi tệp đều được phân tích. Kiểm tra lỗi, tệp bỏ qua và xác minh chưa rõ vẫn cần xem xét.
Theo dõi nhánh và lịch chạy
Nhánh theo dõi giữ phát hiện từ những lần hoàn tất. Báo cáo cũ vẫn giữ bằng chứng ban đầu. Lần lỗi hoặc hủy không thay thế kết quả đã công bố. Run now kiểm tra lại; commit không đổi có thể được bỏ qua khi chưa đến kỳ đánh giá toàn bộ. Full rescan yêu cầu kiểm tra toàn bộ. Incremental cần một mốc thành công. Đặt lịch lặp và kiểm tra múi giờ, hoặc bật Audit when commits are pushed to this branch. Dùng các điều khiển automation để sửa, tắt hoặc xóa lịch. Đã xếp hàng không có nghĩa đã hoàn tất.Làm việc với phát hiện
Table và Kanban giữ bộ lọc khi đổi cách xem. Code Audit không cho kéo thẻ để thay đổi kết luận. Show false positives hiển thị các mục Not confirmed đang bị ẩn mặc định. Dùng Create PR with agent hoặc Fix findings để mở cuộc trò chuyện sửa lỗi. View / manage issues tạo hoặc mở ticket; Viewer chỉ xem ticket đã có. Tạo, liên kết hoặc merge bản sửa không đổi kết luận cũ. Chạy audit mới để đánh giá commit đã sửa.Bước tiếp theo
Theo dõi thư viện
Đọc advisory và đánh giá tác động ứng dụng
Chạy Pentest
Kiểm thử hành vi của ứng dụng đang chạy