Girdeji:
- Emeli intellekti ikinji göz hökmünde ulanmak we kontekst bermek arkaly kodda OWASP synp gowşaklyklaryny (sanjym, gaty gizlin, giriş gözegçiligi) bellemek;
- Emeli intellekt tarapyndan öndürilen ýalan pozitiwleri kontekst bilen ýok etmek we her tapyndylary tassyklamazdan hakyky gowşaklyk hökmünde garamagyň öňüni almak;
- Emeli intellekt tarapyndan teklip edilen düzedişiň täze gowşaklyklary / kemçilikleri döredip biljekdigini we her ýamany gözden geçiriş we synag derwezesinden geçirip biljekdigini bilmek;
Programma üpjünçiliginiň içindäki gowşaklyklar iň gymmat gowşak goralanlyklaryň biridir, sebäbi başyndan önüme ornaşdyrylýar we millionlarça ulanyja paýlanýar. Ygtybarly kod gözden geçirmek, çeşmä kod setirini setir boýunça okamak we gowşak ýerleri ele almak - SQL sanjym, tanamaklyk gowşaklygy, gaty kodlanan parol, nädogry ygtyýarnama - önümçilige başlamazdan ozal. El bilen ýerine ýetirilende haýal we ýadaw; Uly kod bazasyndaky gowşaklygy sypdyrmak aňsat.
AI iki sebäbe görä kod gözden geçirilişinde güýçlidir: kod hem dil, AI bolsa nagşy tanamaga ökde. AI koduň bir böleginde howply nagyşlary çalt belläp biler (ulanyjynyň girişini gönüden-göni soraga goýmak, şifrlenmedik maglumatlary saklamak, giriş tassyklamasyny ýitirmek), hersiniň näme üçin töwekgelçilikdigini düşündirip we düzediş teklip edip biler. Emma AI koduň ähli işleýiş mazmunyny görmeýär (giriş başga bir gatlakda arassalanyp biler), ýok bolan (ýalan polo positiveitel) ýa-da hakyky gowşaklygy (ýalan negatiw) sypdyryp biler, iň esasysy, teklip edýän "düzediş" täze gowşaklygy ýa-da ýalňyşlygy döredip biler. AI kody gözden geçirmekde ikinji göz we görkeziji; Öndüriji we howpsuzlyk hünärmeni, tapyşyň hakyky gowşaklykdygyny ýa-da düzedişiň dogry we ygtybarlydygyny kesgitleýär.
Kod gözden geçirmegiň ädimleri
- Masştabyny we mazmunyny beriň. Haýsy dil, haýsy çarçuwa, bu kod nirä girýär, nirede çykyş berýär, haýsy gatlakda işleýär? Kontekstsiz kod gözden geçirmek ýalan pozitiwleri döredýär.
- Howply nagyşlary gözläň. AI gowşak goralanlyk synplaryny gözläň (OWASP Top 10 ýaly): sanjym, tassyklamak, maglumatlary duýgur açmak, giriş gözegçiligi.
- Her tapyndy dogry bolsun. Her baýdak üçin: haýsy setir, haýsy gowşaklyk synpy, ony nädip ulanyp bolar, subutnama näme. Esassyz tapyndy çynlakaý kabul edilmeýär.
- Falsealan pozitiwleri aýyryň. Giriş hakykatdanam arassalanýarmy, bu ýol hakykatdanam elýeterli - kontekst bilen barlaň.
- Düzedişi barlaň. AI tarapyndan maslahat berilýän ýamanyň hakykatdanam gowşaklygy ýapýandygyny, täze gowşaklyklary / kemçilikleri girizmeýändigini we synagdan geçendigini tassyklaň.
- Adamyň razylygy. Öndüriji + howpsuzlyk hünärmeni tapylyşy we düzedişi gözden geçirýär; Ine, kod ammaryna girýär.
Şertler: SAST (Statiki amaly howpsuzlyk synagy - deslapky kody işlemän analiz edýän statiki howpsuzlyk synagy). DAST (Dinamiki - işleýän programmany daşarky synagdan geçirýän dinamiki synag). OWASP Top 10, iň köp ýaýran web programma gowşaklyklarynyň adaty sanawy. Sanjym, ulanyjy girişini buýruk / talap (meselem SQL sanjym) hökmünde düşündirmekden döreýän gowşaklyk. Parametrlenen talap, girişi koddan aýyrmak bilen sanjymyň öňüni alýan dogry usuldyr.
Umumy gowşaklyk synplarynyň tablisasy
Gowşaklyk synpy
Alamat (kodda)
dogry çözgüt
AI duzagy
SQL sanjym
Talaplara giriş
Parametrlenen talap
Arassaçylygy äsgermezlik edip biler
gaty kodlanan syr
Koddaky parol / açar
Gizlin seýf (ambar)
Falsealňyş polo positiveitel (nusga / synag)
Gowşak tanamak
Ingitirilen / nädogry dolandyryş
Güýçli, merkezleşdirilen dolandyryş
kontekstini sypdyrýar
Nädogry giriş gözegçiligi
Ygtyýarnama ýok
Serweriň ygtyýarnamasy
Çylşyrymly akymy düşünenok
Duýgur maglumatlaryň aýan edilmegi
Parolsyz saklamak / hasaba alyş
Şifrlemek, maskalamak
Tankyt bilemok
Howpsuz serializasiýa
Ynamsyz maglumatlary deserializasiýa etmek
Ygtybarly derňew
Seýrek nagşy sypdyrýar
üç sany kiçi halat
1-nji hadysa - Hakyky sanjymy tutmak. Bir dörediji, AI maglumatlara giriş funksiýasyny barlaýar. AI, ulanyjynyň ulanyjyId bahasynyň gönüden-göni SQL tekstine birikdirilen setirini belleýär we "bu klassiki SQL sanjym, ony parametrli soraga öwüriň" diýýär; Mysal düzedişini üpjün edýär. Öndüriji, girişiň başga bir ýerde sanitariýa edilmändigini, hakyky gowşakdygyny tassyklaýar, teklip edilen parametrli talaplary ýerine ýetirýär we synag ýazýar. AI gowşaklygy görkezdi; barlamak we düzediş synagy işläp düzüjiden geldi.
2-nji waka - sealňyş polo positiveitel syr. AI bir faýlda parol = "test1234" setirini görýär we "möhüm: gaty kodlanan parol" diýýär. Öndüriji konteksti barlaýar: bu birlik synag faýly, köp sanly synag maglumatlary, önümçilige goýberilmeýär we hakyky ulgama iberilmeýär. Tapyndy ýalan oňyn. Öndüriji muny resminamalaşdyrýar, ýöne hakyky syr däldigi üçin çäre görmeýär. Sapak: AI-iň "gaty syry" alamaty kontekst bilen ýok edilmeli; Her setir syr däl.
3-nji hadysa - Täze gowşaklygy düzetmek. AI XSS (saýtdan skript) gowşaklygyny düzetmegi teklip edýär; emma teklip edýän kody nädogry ýerdäki girişleri arassalaýar we başga bir sebitdäki çykyş kodlamalaryny geçirýär; Netijede, boşluk doly ýapylmaýar. Howpsuzlyk hünärmeni düzedişi gözden geçirýär, kodlamanyň ýoklugyny görýär we dogry gatlakda düzedýär. Sapak: AI maslahat berýän ýama awtomatiki howpsuz däl; Her düzediş gözden geçirilýär we synagdan geçirilýär.
Gowşak haýyş / Güýçli haýyş
Gowşak haýyş:
Bu kodda kemçilik barmy, ony düzediň: [kod]
Bu teklip hiç hili kontekst bermeýär (dil, çarçuwa, giriş çeşmesi), delil soramaýar, ýalan polo positiveitel sorag bermeýär we AI tarapyndan döredilen düzedişi kör kabul etmek üçin açyk. AI hakyky gowşaklygyň we ýoklugyň garyşyk alamatlary.
Güýçli haýyş:
Siziň roluňyz: ygtybarly kod gözden geçirmekde döredijä IKINJI GÖZ kömekçisi. Karar bermek; gönüden-göni ulanylýan düzedişi göz öňünde tutuň. Kod: [dil / çarçuwany kesgitläň] .Kontekst: bu funksiýa [giriş çeşmesi: meselem [daşarky HTTP haýyşyny] alýar, [çykyş ýerine] ýazýar. Siziň wezipäňiz: (1) OWASP synpy bilen bolup biläýjek gowşak goralanlyklary belläň, setir belgisini beriň + näme üçin töwekgelçilikli + hersi üçin + subutnamalary nädip ulanmaly, (2) her tapyndy üçin azyndan 1 sany ýalňyş pozitiw ssenariýa ýazyň (meselem, giriş başga bir gatlakda arassalanan bolsa), (3) düzediş teklip ediň, ýöne "[syn + ýazmak synagy]" belgisi bilen; Şeýle hem düzedişiň täze gowşaklyklary / kemçilikleri girizýändigine baha beriň. Galp gowşaklyk goşmak. [Kod]
Güýçli teklip kontekst berýär, OWASP synpyny we subutnamalaryny soraýar, ýalňyş polo positiveitel we düzediş töwekgelçiligini sorag edýär, adam gözden geçirmäge mejbur edýär.
Göçürip bolýan gyssagly şablonlar
WULNERABILITY SCAN TEMPLATE OWASP Top 10 üçin [dil / çarçuwaly] kody gözden geçiriň. Mümkin bolan tapyndylar üçin: setir belgisi, gowşaklyk synpy, näme üçin töwekgelçilikli, nusga ulanylyşy, subutnamalaryň güýji (belli / ähtimal / gowşak). Kontekst: giriş [çeşme], çykyş [maksat]. Galp tapyndylary goşmak; Ynanmasaňyz, "[tassyklanmaly]" ýazyň. Kod: [paste]
ALAL .YŞ POSITIW ÖIMÜNI ALMAK HATY Aşakdaky kod tapmak üçin hakyky gowşaklygyň ýok ssenariýalaryny sanaň: giriş başga bir gatlakda arassalanyp bilermi, bu ýol elýeterlimi, bu baha synag / nusga, awtomatiki usulda goralýan çarçuwadyr. Her biri üçin nädip tassyklamalydygyny ýazyň. Tapmak: [goýmak]
FIKS BAHALANMAK TEMPLATERI Aşakdaky gowşak goralanlygy düzetmegi maslahat beriň; soň öz düzedişiňizi tankytlaň: (1) gowşaklygy hakykatdanam ýapýarmy, (2) täze gowşaklygy / näsazlygy girizýärmi, (3) haýsy synagy ýazmaly (pozitiw we otrisatel ýagdaý), (4) öndürijilik / işleýiş täsiri. Düzedişi gözden geçirerin we synap görerin. Gowşaklyk + kody: [ýelme]
Gowşaklyk synpy üçin HOWPSUZ PATTERN MUGALLYM MESELE SQL sanjym] bu dilde / çarçuwada howpsuz ýazuw görnüşini we umumy ýalňyş nagyşlary deňeşdirip görkezýär. Umumy düzgün + kod mysaly beriň; ýöne kodumda durmuşa geçirmezden ozal kontekstden soramagyňyzy isleýärin. Dil / çarçuwa: [ýaz]
Adaty ýalňyşlyklar
- Kontekstsiz gözden geçiriň. Dil, çarçuwa we giriş / çykyş konteksti bolmazdan, AI hakyky we ýalňyş netijeleri bulaşdyrýar; Kontekst bermegi hökman unutmaň.
- Hakyky gowşaklyk üçin her alamaty ýalňyşmak. AI ýalan pozitiw öndürýär (synag maglumatlary, giriş başga bir gatlakda arassalanýar); Her tapyndy mazmuny bilen geçiriň.
- AI düzedişini kör ulanyp. Maslahat berilýän patch täze gowşaklyklary / kemçilikleri girizip biler; synaglary gözden geçiriň we ýazyň.
- Falsealan negatiwlere ynanmak. AI "gowşaklyk ýok" diýse-de, möhüm ýollary özüňiz barlaň; Statik skaner her bir gowşaklygy ýüze çykarmaýar.
- Kod / syry daşarky gurala bermek. Şahsy kod we hakyky syrlar (açar, parol) intellektual eýeçilik we gowşaklyk; korporatiw, izolirlenen gurallary anonimleşdirmek ýa-da ulanmak.
Maslahat: AI gözden geçiriş kody bolanda, iň täsirli süzgüç, her tapyndy üçin “subutnamanyň güýjüni” (belli / ähtimal / gowşak) soramakdyr. “Gowşak” diýlen tapyndylaryň köpüsi ýalan pozitiwdir; güýjüňizi “ynamdarlara” bölýärsiňiz.
Üns beriň: AI-iň teklip eden howpsuzlyk düzedişi synagdan geçirilmän ammara girmeli däldir. Nädogry "düzediş" gowşaklygy açyk goýup, önümçilikde funksional ýalňyşlyga sebäp bolup biler; Her patch gözden geçiriş we synag derwezesinden geçýär.
Gysgaça
Ygtybarly kod gözden geçirmek, gowşak goralanlyklary önümçilige girmezden ozal ele almagyň iň arzan usulydyr we kod dil bolansoň, AI bu ýerde güýçli ikinji göz bolýar: howply nagyşlary belleýär, töwekgelçiligi düşündirýär, düzedişleri teklip edýär. Emma AI ähli iş kontekstini görmeýär, ýalan pozitiwleri we ýalan negatiwleri döredýär we maslahat berýän patch täze gowşaklyklary döredip biler. Şeýlelik bilen synda alty ädim bar (kontekst, barlag, delillendirmek, ýalan pozitiw ýok etmek, barlamak, adam tassyklamagy) we karar işläp düzüjiniň we howpsuzlyk hünärmeniniň ygtyýaryndadyr. Üç ýörelge: hiç bir tapyş kontekstsiz düşündirilmeýär, her bir belgi kontekst bilen ýok edilýär, hiç hili düzediş synagdan geçirilmeýär. Kod / syr hiç wagt anonim bolmazdan daşarky gurala berilmeýär.
Programma meselesi
Nusga kod parçasyny alyň (ýa-da öz koduňyzdan duýgur bölekleri aýyrmak ýa-da gowşak goralan nusga kody). AI-ni “Gowşaklygy skanirlemek” şablony bilen gözden geçiriň; Her tapyndy üçin "sealňyş pozitiw ýok etmek" şablonyny ulanyň we hakykylaryny ýok ediň. Iň çynlakaý tapyndylary “Düzediş bahalandyrmasy” şablony bilen düzediň, özüňiz gözden geçiriň we bir oňyn + bir negatiw synag ýagdaýyny ýazyň. Näçe tapyndylaryň ýalan pozitiwdigine üns beriň.
gözegçilik sanawy
- [] Kody gözden geçirmezden ozal dil, çarçuwa we giriş / çykyş kontekstini berdim.
- [] Setir belgisini, gowşaklyk synpyny, her tapyndy üçin ýoly we subutnamalary soradym.
- [] Her tapyşy ýalan pozitiw üçin kontekstde barladym.
- [] AI düzedişini kör görmedim; Synagy gözden geçirdim we ýazdym.
- [] "Gowşaklyklar ýok" çykyşyna garamazdan, möhüm ýollary özüm gözden geçirdim.
- [] Kod / syrlary anonim etdim ýa-da korporatiw izolirlenen gurallary ulandym.
- [] Tapyndy we dörediji + howpsuzlyk tassyklamasy arkaly düzedim.