GitHub נחשף לפני מספר ימים הוספה של ניסויים במערכת למידת מכונהלשירות סריקת קוד לזהות סוגים נפוצים של פגיעות בקוד. עם זאת, טכנולוגיית ניתוח הקוד מבוססת CodeQL של GitHub שופצה ומשתמשת כעת בלמידה חישובית (ML) כדי למצוא פרצות אבטחה פוטנציאליות בקוד.
וזה ה-GitHub הזה רכשה את הטכנולוגיה עבור CodeQL כחלק מרכישת Semmie. CodeQL משמש צוותי מחקר אבטחה לביצוע ניתוח סמנטי של קוד, ו-GitHub הפך אותו לקוד פתוח.
עם מודלים אלה, CodeQL יכול לזהות יותר זרמי נתונים של משתמשים לא מהימנים ולכן יותר פרצות אבטחה פוטנציאליות.
נצפה כי השימוש במערכת למידת מכונה איפשר להרחיב משמעותית את מגוון הבעיות שזוהו, שבניתוחן המערכת אינה מוגבלת כיום לאימות דפוסים אופייניים ואינה קשורה למסגרות ידועות.
מבין הבעיות שזוהתה על ידי המערכת החדשה, מוזכרות שגיאות המובילות לסקריפט חוצה אתרים (XSS), עיוות של נתיבי קבצים (לדוגמה, באמצעות האינדיקציה "/.."), החלפה של שאילתות SQL ו-NoSQL. .
סריקת קוד יכולה כעת למצוא עוד פרצות אבטחה פוטנציאליות על ידי מינוף מודל למידה עמוקה חדש. תכונה ניסיונית זו זמינה בבטא ציבורית עבור מאגרי JavaScript ו-TypeScript ב-GitHub.com.
הכלי החדש של GitHub fue שוחרר כגרסת ביטא ציבורית בחינם עבור כל המשתמשים, התכונה משתמשת בלמידה חישובית ובלמידה עמוקה כדי לסרוק בסיסי קוד ולזהות פרצות אבטחה נפוצות לפני משלוח מוצר.
התכונה הניסיונית זמינה כעת לכל משתמשי הפלטפורמה, כולל משתמשי GitHub Enterprise כתכונת אבטחה מתקדמת של GitHub, וניתן להשתמש בה עבור פרויקטים שנכתבו ב-JavaScript או ב-TypeScript.
עם ההתפתחות המהירה של המערכת האקולוגית של הקוד הפתוח, ישנו זנב הולך וגדל של ספריות שנמצאות בשימוש בתדירות נמוכה יותר. אנו משתמשים בדוגמאות משאילתות CodeQL שנוצרו באופן ידני כדי להכשיר מודלים של למידה עמוקה לזהות ספריות קוד פתוח כמו גם ספריות קוד סגור שפותחו באופן פנימי.
הכלי נועד לחפש את ארבעת הפגיעות הנפוצות ביותר המשפיעים על פרויקטים שנכתבו בשתי השפות הללו: סקריפטים בין אתרים (XSS), הזרקת מסלול, הזרקת NoSQL והזרקת SQL.
שירות סריקת הקוד מאפשר לך לזהות נקודות תורפה בשלב מוקדם של הפיתוח על ידי סריקת כל פעולת דחיפה של git לאיתור בעיות פוטנציאליות.
התוצאה מצורפת ישירות לבקשת המשיכה. בעבר, הבדיקה נעשתה באמצעות מנוע CodeQL, המנתח דפוסים עם דוגמאות טיפוסיות של קוד פגיע (CodeQL מאפשר ליצור תבנית של קוד פגיע כדי לזהות נוכחות של פגיעות דומה בקוד של פרויקטים אחרים).
עם יכולות ניתוח חדשות, סריקת קוד יכולה ליצור אפילו יותר התראות עבור ארבעה דפוסי פגיעות נפוצים: Cross-Site Scripting (XSS), Path Injection, NoSQL Injection ו-SQL Injection. יחד, ארבעת סוגי הפגיעות הללו מייצגים רבים מהחולשות האחרונות (CVEs) במערכת האקולוגית של JavaScript/TypeScript, ושיפור היכולת של סריקת קוד לאיתור פגיעויות כאלה בשלב מוקדם בתהליך הפיתוח הוא המפתח לעזור למפתחים לכתוב קוד מאובטח יותר.
מנוע למידת המכונה החדש יכול לזהות נקודות תורפה שלא ידועות בעבר מכיוון שהוא לא קשור לאיטרציה של דפוסי קוד שמתארים נקודות תורפה ספציפיות. המחיר של הזדמנות כזו הוא עלייה במספר התוצאות הכוזבות בהשוואה לבדיקות מבוססות CodeQL.
בסופו של דבר למעוניינים לדעת יותר על כך, אתה יכול לבדוק את הפרטים בקישור הבא.
כמו כן, חשוב להזכיר שבשלב הבדיקה, הפונקציונליות החדשה זמינה כרגע רק עבור מאגרים עם JavaScript וקוד TypeScript.