ආරක්‍ෂිත කේත සමාලෝචනය සහ ස්ථිතික විශ්ලේෂණය: කෘත්‍රිම බුද්ධියෙන් දුර්වලතා සොයා ගැනීම

ලාභ:

• දෙවන ඇසක් ලෙස කෘතිම බුද්ධිය භාවිතා කිරීමේ හැකියාව සහ සන්දර්භය ලබා දීමෙන් කේතයේ OWASP පන්තියේ දුර්වලතා (එන්නත් කිරීම, දෘඩ රහස, ප්‍රවේශ පාලනය) සලකුණු කරන්න
• සන්දර්භය සමඟ කෘතිම බුද්ධිය මගින් නිපදවන ව්‍යාජ ධනාත්මක දේ ඉවත් කිරීමේ හැකියාව සහ එය වලංගු කිරීමකින් තොරව සෑම සොයාගැනීමක්ම සැබෑ අවදානමක් ලෙස සැලකීම වැළැක්වීම
• කෘත්‍රිම බුද්ධිය මගින් යෝජනා කරන ලද නිවැරදි කිරීම මඟින් නව දුර්වලතා/දෝෂ හඳුන්වා දිය හැකි බව හඳුනාගැනීමේ හැකියාව සහ එක් එක් පැච් එක සමාලෝචන සහ පරීක්ෂණ ද්වාරය හරහා ගමන් කරයි.

මෘදුකාංගය තුළ ඇති දුර්වලතා මිල අධිකම දුර්වලතා අතර වේ, මන්ද ඒවා ආරම්භයේ සිටම නිෂ්පාදනයේ තැන්පත් කර ඇති අතර මිලියන ගණනක් පරිශීලකයින් වෙත බෙදා හරිනු ලැබේ. SQL එන්නත් කිරීම, සත්‍යාපන අවදානම, දෘඪ-කේතගත මුරපදය, වැරදි අවසරය - - ඒවා නිෂ්පාදනයට යාමට පෙර ප්‍රභව කේත පේළියෙන් පේළිය කියවීම සහ අවදානම් අල්ලා ගැනීමේ ක්‍රියාවලිය ආරක්ෂිත කේත සමාලෝචනයයි. අතින් සිදු කරන විට, එය මන්දගාමී සහ වෙහෙසකරයි; විශාල කේත පදනමක් තුළ අවදානමක් මග හැරීම පහසුය.

AI හේතු දෙකක් නිසා කේත සමාලෝචනයේදී බලවත් වේ: කේතය ද භාෂාවක් වන අතර, රටා හඳුනාගැනීමේදී AI හොඳ ය. AI හට කේත කොටසක අනතුරුදායක රටා ඉක්මනින් සලකුණු කළ හැක (පරිශීලක ආදානය සෘජුවම විමසුමට දැමීම, සංකේතනය නොකළ දත්ත ගබඩා කිරීම, ආදාන වලංගු භාවය නැතිවීම), ඒ සෑම එකක්ම අවදානම් වන්නේ මන්දැයි පැහැදිලි කර විසඳුමක් යෝජනා කරන්න. නමුත් AI හට කේතයේ සම්පූර්ණ ක්‍රියාකාරී සන්දර්භය නොපෙනේ (ආදානය වෙනත් ස්ථරයකින් නිෂ්කාශනය විය හැක), එය නොපවතින (ව්‍යාජ ධනාත්මක) අවදානමක් නිර්මාණය කළ හැකිය, නැතහොත් සැබෑ අවදානමක් මග හැරිය හැකිය (ව්‍යාජ සෘණාත්මක), සහ වඩාත්ම වැදගත් ලෙස, එය යෝජනා කරන "නිවැරදි කිරීම" නව අවදානමක් හෝ දෝෂයක් හඳුන්වා දිය හැකිය. AI යනු කේත සමාලෝචනයේ දෙවන ඇස සහ දර්ශකයකි; සොයා ගැනීමක් සැබෑ අවදානමක් ද යන්න සහ නිවැරදි කිරීම නිවැරදි සහ ආරක්ෂිතද යන්න සංවර්ධකයා සහ ආරක්ෂක විශේෂඥයා තීරණය කරයි.

කේත සමාලෝචනයේ පියවර

1. විෂය පථය සහ සන්දර්භය දෙන්න. කුමන භාෂාවද, කුමන රාමුවද, මෙම කේතය ආදානය ලබා ගන්නේ කොහෙන්ද, එය ප්‍රතිදානය ලබා දෙන්නේ කොතැනද, එය ක්‍රියා කරන්නේ කුමන ස්ථරයේද? සන්දර්භය නොමැතිව කේත සමාලෝචනය ව්‍යාජ ධනාත්මක කරුණු ඇති කරයි.
2. භයානක රටා සඳහා පරිලෝකනය කරන්න. දන්නා AI අවදානම් පන්ති සඳහා සොයන්න (OWASP Top 10 වැනි): එන්නත් කිරීම, සත්‍යාපනය, සංවේදී දත්ත හෙළිදරව් කිරීම, ප්‍රවේශ පාලනය.
3. සෑම සොයාගැනීමක්ම සාධාරණීකරණය කරන්න. එක් එක් ධජය සඳහා: කුමන රේඛාව, කුමන අවදානම් පන්තිය, එය ගසාකන්නේ කෙසේද, සාක්ෂි මොනවාද. අසාධාරණ සොයා ගැනීමක් බැරෑරුම් ලෙස සලකන්නේ නැත.
4. වැරදි ධනාත්මක ඉවත් කරන්න. ආදානය ඇත්ත වශයෙන්ම නිෂ්කාශනය වී තිබේද, එම මාර්ගය සැබවින්ම ප්‍රවේශ විය හැකිද - සන්දර්භය සමඟ පරීක්ෂා කරන්න.
5. නිවැරදි කිරීම තහවුරු කරන්න. AI විසින් නිර්දේශ කරන ලද පැච් එක ඇත්ත වශයෙන්ම අවදානම වැසීම, නව අවදානම්/දෝෂ හඳුන්වා නොදෙන බව සහ පරීක්ෂණ සමත් වී ඇති බව තහවුරු කරන්න.
6. මානව අනුමැතිය. සංවර්ධක + ආරක්ෂක විශේෂඥයන් සොයා ගැනීම සහ නිවැරදි කිරීම සමාලෝචනය කරයි; එය කේත ගබඩාවට ඇතුළු වන්නේ එලෙසිනි.

නියමයන්: SAST (ස්ථිතික යෙදුම් ආරක්ෂණ පරීක්ෂණය - ස්ථිතික ආරක්ෂණ පරීක්ෂණය එය ධාවනය නොකර මූලාශ්‍ර කේතය විශ්ලේෂණය කරයි). DAST (Dynamic — ධාවනය වන යෙදුම බාහිරව පරීක්ෂා කරන ගතික පරීක්ෂාව). OWASP Top 10 යනු වඩාත් පොදු වෙබ් යෙදුම් දුර්වලතා වල සම්මත ලැයිස්තුවයි. එන්නත් කිරීම යනු පරිශීලක ආදානය විධානයක්/විමසුවක් ලෙස අර්ථකථනය කිරීමෙන් ඇති වන අවදානමකි (උදා. SQL එන්නත් කිරීම). පරාමිතික විමසුම යනු කේතයෙන් ආදානය වෙන් කිරීමෙන් එන්නත් කිරීම වළක්වන නිවැරදි ක්‍රමයයි.

පොදු අවදානම් පන්ති වගුව

අවදානම් පන්තිය

රෝග ලක්ෂණය (කේතයෙන්)

නිවැරදි විසඳුම

AI ගේ උගුල

SQL එන්නත් කිරීම

විමසුමට ආදානය සම්බන්ධ කිරීම

පරාමිතික විමසුම

සනීපාරක්ෂාව නොසලකා හැරිය හැක

දැඩි සංකේතාත්මක රහස

කේතයේ මුරපදය/යතුර

රහස් ආරක්‍ෂාව (වාල්ට්), env

වැරදි ධනාත්මක (නියැදිය/පරීක්ෂණ)

දුර්වල සත්‍යාපනය

අස්ථානගත / වැරදි පාලනය

බලවත්, මධ්යගත පාලනය

සන්දර්භය මග හැරේ

දෝෂ සහිත ප්රවේශ පාලනය

අවසර පරීක්ෂාවක් නැත

සේවාදායක පැත්තේ අවසරය

සංකීර්ණ ප්රවාහය තේරෙන්නේ නැත

සංවේදී දත්ත හෙළිදරව් කිරීම

මුරපද රහිත ගබඩා කිරීම/ලොග් වීම

සංකේතනය, ආවරණ

විවේචනය දැනගත නොහැක

අනාරක්ෂිත අනුක්‍රමිකකරණය

විශ්වාස කළ නොහැකි දත්ත ඉවත් කරන්න

ආරක්ෂිත විග්‍රහ කිරීම

දුර්ලභ රටාව මග හැරේ

කුඩා නඩු තුනක්

නඩුව 1 - සැබෑ එන්නත් අල්ලා ගැනීම. සංවර්ධකයෙකුට දත්ත ප්‍රවේශ ශ්‍රිතයක් පරීක්ෂා කිරීමට AI ඇත. AI විසින් පරිශීලකයාගේ පරිශීලක Id අගය සෘජුවම SQL පෙළට සම්බන්ධ කර ඇති රේඛාව සලකුණු කරන අතර "මෙය සම්භාව්‍ය SQL එන්නත් කිරීමකි, එය පරාමිතික විමසුමක් බවට පත් කරන්න"; නියැදි නිවැරදි කිරීමක් සපයයි. සංවර්ධකයා ආදානය වෙනත් තැනක සනීපාරක්ෂාව කර නොමැති බව තහවුරු කරයි, එය සැබෑ අවදානමක් බව තහවුරු කරයි, යෝජිත පරාමිතික විමසුම ක්‍රියාත්මක කරයි, සහ පරීක්ෂණයක් ලියයි. AI අවදානම් බව අවධාරණය කළේය; සත්‍යාපනය සහ නිවැරදි කිරීමේ පරීක්ෂාව සංවර්ධකයාගෙන් පැමිණියේය.

නඩුව 2 - වැරදි ධනාත්මක ස්ථාවර රහස. AI විසින් ගොනුවක මුරපදය = "test1234" රේඛාව දකින අතර "විවේචනාත්මක: දෘඪ කේත මුරපදය" කියයි. සංවර්ධකයා සන්දර්භය පරීක්ෂා කරයි: මෙය ඒකක පරීක්ෂණ ගොනුවකි, ව්‍යාජ පරීක්ෂණ දත්ත, නිෂ්පාදනයට මුදා නොහරින අතර සැබෑ පද්ධතියකට මාරු නොකෙරේ. සොයා ගැනීම වැරදි ධනාත්මක එකක්. සංවර්ධකයා මෙය ලේඛනගත කරන නමුත් එය සැබෑ රහසක් නොවන නිසා පියවර නොගනී. පාඩම: AI හි "දැඩි රහස්" ලකුණ සන්දර්භය අනුව ඉවත් කළ යුතුය; සෑම පෙළක්ම රහසක් නොවේ.

නඩුව 3 - නව අවදානම් නිවැරදි කිරීම. AI විසින් XSS (හරස් අඩවි ස්ක්‍රිප්ටින්) අවදානමක් සඳහා විසඳුමක් යෝජනා කරයි; නමුත් ඔහු යෝජනා කරන කේතය වැරදි ස්ථානයක ආදානය ඉවත් කරන අතර වෙනත් ප්‍රදේශයක ප්‍රතිදාන කේතනය මග හරියි; එහි ප්රතිඵලයක් වශයෙන්, පරතරය සම්පූර්ණයෙන්ම වැසෙන්නේ නැත. ආරක්ෂක විශේෂඥයා නිවැරදි කිරීම සමාලෝචනය කරයි, නැතිවූ කේතීකරණය නිරීක්ෂණය කරයි, සහ එය නිවැරදි ස්ථරයට සවි කරයි. පාඩම: AI නිර්දේශ කරන පැච් එක ස්වයංක්‍රීයව ආරක්ෂිත නොවේ; සෑම නිවැරදි කිරීමක්ම සමාලෝචනය කර පරීක්ෂා කරනු ලැබේ.

දුර්වල ක්ෂණික / ශක්තිමත් විමසුම

දුර්වල ක්ෂණික:

මෙම කේතයේ අඩුපාඩුවක් තිබේද, එය නිවැරදි කරන්න: [කේතය]

මෙම ප්‍රේරකය සන්දර්භය ලබා නොදේ (භාෂාව, රාමුව, ආදාන මූලාශ්‍රය), යුක්තිසහගත කිරීම ඉල්ලා නොසිටින අතර, අසත්‍ය ධනාත්මක ප්‍රශ්න නොකරයි, සහ AI විසින් නිපදවන නිවැරදි කිරීම් අන්ධ ලෙස පිළිගැනීමට විවෘතය. AI සැබෑ අවදානම් සහ නොපවතින දෙකම මිශ්‍ර සංඥා.

බලවත් විමසුම:

ඔබගේ කාර්යභාරය: ආරක්ෂිත කේත සමාලෝචනයේදී සංවර්ධකයාගේ දෙවන ඇස වන සහකාර. තීරණ ගැනීම; සෘජුවම යොදන ලද නිවැරදි කිරීම සලකා බලන්න. කේතය: [භාෂාව/රාමුව සඳහන් කරන්න]. සන්දර්භය: මෙම ශ්‍රිතය [ආදාන මූලාශ්‍රය: උදා. [බාහිර HTTP ඉල්ලීම] ලැබේ, [ප්‍රතිදාන ගමනාන්තය] වෙත ලියයි. ඔබගේ කාර්යය: (1) OWASP පන්තිය සමඟ ඇති විය හැකි දුර්වලතා සලකුණු කරන්න, පේළි අංකය + ඇයි අවදානම් + එක් එක් සඳහා + සාක්ෂි ලබා දෙන්න නිවැරදි කිරීම නව දුර්වලතා/දෝෂ හඳුන්වා දෙනවාද යන්න තක්සේරු කරන්න. ව්‍යාජ අවදානමක් එකතු කිරීම.[code]

ශක්තිමත් ප්‍රමාදය සන්දර්භය ලබා දෙයි, OWASP පන්තිය සහ සාක්ෂි ඉල්ලා සිටී, අසත්‍ය ධනාත්මක සහ ප්‍රතිකර්මයේ අවදානම් ප්‍රශ්න කරයි, මානව සමාලෝචනයට බල කරයි.

පිටපත් කළ හැකි ක්ෂණික සැකිලි

VULNERABILITY SCAN TEMPLATE OWASP Top 10 සඳහා [භාෂාව/රාමුව] කේතය පරීක්ෂා කරන්න. හැකි සෑම සොයාගැනීමක් සඳහාම: රේඛා අංකය, අවදානම් පන්තිය, එය අවදානම් වන්නේ ඇයි, නියැදි සූරාකෑම, සාක්ෂි ප්‍රබලත්වය (ඇතැම්/විය හැකි/දුර්වල). සන්දර්භය: ආදානය [මූලාශ්රය], ප්රතිදානය [ඉලක්කය]. ගොතන ලද සොයාගැනීම් එකතු කිරීම; ඔබට විශ්වාස නැතිනම්, "[තහවුරු කළ යුතුය]" ටයිප් කරන්න. කේතය: [පේස්ට්]

අසත්‍ය ධනාත්මක ඉවත් කිරීමේ රටාව පහත කේත සොයා ගැනීම සඳහා, සැබෑ අවදානමක් නොමැති අවස්ථා ලැයිස්තුගත කරන්න: ආදානය වෙනත් ස්ථරයකින් ඉවත් කළ හැකිද, මෙම මාර්ගයට ප්‍රවේශ විය හැකිද, මෙම අගය පරීක්ෂණයක්/නියැදියක්ද, රාමුව ස්වයංක්‍රීයව ආරක්‍ෂා කෙරේ. එක් එක් සඳහා තහවුරු කරන ආකාරය ලියන්න. සොයා ගැනීම: [පේස්ට්]

නිවැරදි තක්සේරු සැකිල්ල පහත අවදානම් සඳහා විසඳුමක් නිර්දේශ කරයි; එවිට ඔබේම නිවැරදි කිරීම විවේචනය කරන්න: (1) එය ඇත්ත වශයෙන්ම අවදානම වසා දමන්නේද, (2) එය නව අවදානමක්/දෝෂයක් හඳුන්වා දෙයිද, (3) මා ලිවිය යුතු පරීක්ෂණය (ධනාත්මක සහ සෘණ අවස්ථාව), (4) කාර්ය සාධනය/ක්‍රියාකාරීත්වය බලපෑම. මම නිවැරදි කිරීම සමාලෝචනය කර පරීක්ෂා කරමි. අවදානම + කේතය: [පේස්ට්]

අවදානම් පන්තිය සඳහා ආරක්ෂිත රටා ඉගැන්වීමේ අච්චුව [උදා. SQL එන්නත්] සංසන්දනාත්මකව මෙම භාෂාවේ/රාමුවෙහි ආරක්ෂිත ටයිප් කිරීමේ රටාව සහ පොදු වැරදි රටා පෙන්වයි. සාමාන්‍ය රීතිය + කේත උදාහරණය දෙන්න; නමුත් එය මගේ කේතයේ ක්‍රියාත්මක කිරීමට පෙර ඔබ සන්දර්භය විමසීමට මට අවශ්‍යය. භාෂාව/රාමුව: [ලියන්න]

පොදු වැරදි

• සන්දර්භය නොමැතිව සමාලෝචනය කරන්න. භාෂාව, රාමුව සහ ආදාන/ප්‍රතිදාන සන්දර්භය නොමැතිව, AI සැබෑ සහ ව්‍යාජ සොයාගැනීම් දෙකම ව්‍යාකූල කරයි; සන්දර්භය ලබා දීමට වග බලා ගන්න.
• සෑම ලකුණක්ම සැබෑ දුර්වලකමක් ලෙස වරදවා වටහා ගැනීම. AI ව්‍යාජ ධනාත්මක දේ නිපදවයි (පරීක්ෂණ දත්ත, ආදානය වෙනත් ස්ථරයකින් පිරිසිදු කර ඇත); සන්දර්භය සමඟ එක් එක් සොයාගැනීම් පෙරන්න.
• AI හි නිවැරදි කිරීම අන්ධ ලෙස යෙදීම. නිර්දේශිත පැච් නව දුර්වලතා/දෝෂ හඳුන්වා දිය හැක; සමාලෝචනය සහ පරීක්ෂණ ලිවීම.
• ව්යාජ සෘණාත්මකව විශ්වාස කිරීම. AI "අවදානම් නැත" යැයි පැවසුවද, තීරණාත්මක මාර්ග ඔබම පරීක්ෂා කරන්න; ස්ථිතික ස්කෑන් කිරීම සෑම අවදානමක්ම හඳුනා නොගනී.
• බාහිර මෙවලමට කේතය/රහස ලබා දීම. පුද්ගලික කේතය සහ සැබෑ රහස් (යතුර, මුරපදය) බුද්ධිමය දේපල සහ අවදානම; නිර්නාමික කිරීම හෝ ආයතනික, හුදකලා මෙවලම් භාවිතා කරන්න.

ඉඟිය: AI සමාලෝචන කේතය ඇති විට, වඩාත් කාර්යක්ෂම පෙරහන වන්නේ එක් එක් සොයා ගැනීම සඳහා "සාක්ෂිවල ශක්තිය" (ඇතැම්/බොහෝ විට/දුර්වල) ඉල්ලා සිටීමයි. "දුර්වල" ලෙස සලකුණු කර ඇති බොහෝ සොයාගැනීම් වැරදි ධනාත්මක වේ; ඔබ ඔබේ ශක්තිය "නිසැක" අයට වෙන් කරයි.

අවවාදයයි: AI හි යෝජිත ආරක්ෂක සවි කිරීම පරීක්ෂා කිරීමකින් තොරව ගබඩාවට ඇතුළු නොවිය යුතුය. වැරදි "නිවැරදි කිරීම" දෙකම අවදානම විවෘතව තබා නිෂ්පාදනයේ ක්‍රියාකාරී දෝෂයකට තුඩු දිය හැකිය; සෑම පැච් එකක්ම සමාලෝචන සහ පරීක්ෂණ දොරටුව හරහා ගමන් කරයි.

සාරාංශයකින්

ආරක්ෂිත කේත සමාලෝචනය යනු ඒවා නිෂ්පාදනයට යාමට පෙර අවදානම් අල්ලා ගැනීමට ඇති ලාභම ක්‍රමය වන අතර කේතය භාෂාවක් බැවින්, AI මෙහි බලවත් දෙවන ඇසක් බවට පත්වේ: භයානක රටා සලකුණු කරයි, අවදානම පැහැදිලි කරයි, නිවැරදි කිරීම් යෝජනා කරයි. නමුත් AI සමස්ත මෙහෙයුම් සන්දර්භය නොපෙනේ, ව්‍යාජ ධනාත්මක සහ ව්‍යාජ නිෂේධන ඇති කරයි, සහ එය නිර්දේශ කරන පැච් නව අවදානම් හඳුන්වා දිය හැකිය. එබැවින් සමාලෝචනයට පියවර හයක් ඇත (සන්දර්භය, පිරික්සීම, සාධාරණීකරණය, ව්‍යාජ ධනාත්මක ඉවත් කිරීම, නිවැරදි කිරීම සත්‍යාපනය, මානව අනුමැතිය) සහ තීරණය සංවර්ධකයා සහ ආරක්ෂක විශේෂඥයා සතුය. මූලධර්ම තුනක්: සන්දර්භය නොමැතිව කිසිදු සොයාගැනීමක් අර්ථකථනය නොකෙරේ, සෑම ලකුණක්ම සන්දර්භය සමඟින් ඉවත් කරනු ලැබේ, කිසිදු නිවැරදි කිරීමක් ගබඩාවට පරීක්ෂා නොකළේය. තවද කේතය/රහස කිසිවිටෙක නිර්නාමිකකරණයකින් තොරව බාහිර මෙවලමකට ලබා නොදේ.

යෙදුම් කාර්යය

නියැදි කේත ස්නිපට් එකක් ගන්න (ඔබගේම කේතයෙන් සංවේදී කොටස් ඉවත් කිරීම හෝ අවදානම් සහිත නියැදි කේතය). AI එය "අවදානතා පරිලෝකනය" අච්චුව සමඟ පරීක්ෂා කර බලන්න; එක් එක් සොයා ගැනීම සඳහා "False Positive Elimination" අච්චුව යොදන්න සහ සැබෑ ඒවා ඉවත් කරන්න. "Remediation Evaluation" අච්චුව සමඟින් බරපතලම සොයාගැනීමේ නිවැරදි කිරීම ගන්න, එය ඔබම සමාලෝචනය කර එක් ධනාත්මක + එක් සෘණ පරීක්ෂණ නඩුවක් ලියන්න. සොයාගැනීම් කීයක් ව්‍යාජ ධනාත්මක ඒවා දැයි සලකන්න.

පිරික්සුම් ලැයිස්තුව

• [ ] මම කේතය සමාලෝචනය කිරීමට පෙර භාෂාව, රාමුව සහ ආදාන/ප්‍රතිදාන සන්දර්භය ලබා දුනිමි.
• [ ] මම එක් එක් සොයා ගැනීම සඳහා රේඛා අංකය, අවදානම් පන්තිය, සූරාකන මාර්ගය සහ සාක්ෂි ඉල්ලා සිටියෙමි.
• [ ] මම සෑම සොයාගැනීමක්ම සන්දර්භය සමඟ ව්‍යාජ ධනාත්මක සඳහා තිරගත කළෙමි.
• [ ] මම AI හි නිවැරදි කිරීම අන්ධ ලෙස යෙදුවේ නැත; මම සමාලෝචනය කර පරීක්ෂණයක් ලිව්වෙමි.
• [ ] "අවදානම්තා නොමැත" ප්‍රතිදානය තිබියදීත්, මම විවේචනාත්මක මාර්ග මා විසින්ම පරීක්ෂා කළෙමි.
• [ ] මම කේතය/රහස් නිර්නාමික කළ හෝ ආයතනික හුදකලා මෙවලම් භාවිතා කළෙමි.
• [ ] මම සංවර්ධක + ආරක්ෂක අනුමැතිය හරහා සොයා ගැනීම සහ නිවැරදි කිරීම සමත් වී ඇත.