GitHub が発表されました 数日前に追加 機械学習システムの実験l コードスキャンサービスへ 一般的なタイプの脆弱性を特定するため コード内。 これにより、GitHub の CodeQL ベースのコード分析テクノロジーが刷新され、機械学習 (ML) を使用してコード内の潜在的なセキュリティ脆弱性を検出できるようになりました。
そしてそれがGitHubです CodeQLの技術を取得 Semmie買収の一環として。 CodeQL はセキュリティ研究チームによってコードのセマンティック分析を実行するために使用されており、GitHub によってオープンソース化されました。
これらのモデルを使用すると、CodeQL はより多くの信頼できないユーザー データ フローを特定できるため、より多くの潜在的なセキュリティ脆弱性を特定できます。
機械学習システムの使用により、特定される問題の範囲を大幅に拡大することが可能になり、その分析において、システムは典型的なパターンのチェックに限定されず、既知のフレームワークに縛られないことに留意されたい。
新しいシステムによって特定された問題のうち、クロスサイト スクリプティング (XSS)、ファイル パスの歪み (たとえば、「/..」という表示による)、SQL および NoSQL クエリの置換につながるエラーについて言及しています。
コード スキャンでは、新しい深層学習モデルを活用することで、より多くの潜在的なセキュリティ脆弱性を検出できるようになりました。 この実験的な機能は、GitHub.com の JavaScript および TypeScript リポジトリのパブリック ベータ版で利用できます。
新しい GitHub ツールueは無料のパブリックベータとしてリリースされました この機能はすべてのユーザーを対象として、製品の出荷前に機械学習と深層学習を使用してコード ベースをスキャンし、一般的なセキュリティ脆弱性を特定します。
この実験的機能は現在、GitHub Advanced Security 機能として GitHub Enterprise ユーザーを含むプラットフォームのすべてのユーザーが利用でき、JavaScript または TypeScript で記述されたプロジェクトに使用できます。
オープンソース エコシステムの急速な進化に伴い、使用頻度の低いライブラリのロングテールが増え続けています。 手動で構築した CodeQL クエリから派生したサンプルを使用して、ディープ ラーニング モデルをトレーニングし、オープン ソース ライブラリと内部開発されたクローズド ソース ライブラリを認識します。
ツール 最も一般的な XNUMX つの脆弱性を探すように設計されています これら XNUMX つの言語で書かれたプロジェクトに影響を与えるものは次のとおりです。 クロスサイト スクリプティング (XSS)、ルート インジェクション、NoSQL インジェクション、SQL インジェクション。
コード スキャン サービスを使用すると、潜在的な問題がないかすべての git プッシュをスキャンすることで、開発の初期段階で脆弱性を検出できます。
結果はプルリクエストに直接添付されます。 以前は、チェックは、脆弱なコードの典型的な例に対してパターンを分析する CodeQL エンジンを使用して行われていました (CodeQL を使用すると、脆弱なコード テンプレートを生成して、他のプロジェクトのコード内の同様の脆弱性の存在を検出できます)。
新しい分析機能を使用すると、コード スキャンにより、クロスサイト スクリプティング (XSS)、パス インジェクション、NoSQL インジェクション、SQL インジェクションの XNUMX つの一般的な脆弱性パターンに対してさらに多くのアラートを生成できます。 これら XNUMX つの脆弱性タイプは、まとめて JavaScript/TypeScript エコシステムにおける最近の脆弱性 (CVE) の多くを表しており、開発プロセスの初期段階でこのような脆弱性を検出するコード スキャンの機能を向上させることが、開発者がより安全なコードを作成できるようにするための鍵となります。
新しい機械学習エンジン これまで知られていなかった脆弱性を特定できる それは、特定の脆弱性を記述するコード パターンの反復に関連付けられていないためです。 このような機会の代償として、CodeQL ベースのチェックと比較して誤検知の数が増加します。
最後に それについてもっと知りたい人のために、詳細を確認できます 次のリンクで。
また、テスト段階では、新機能は現在 JavaScript および TypeScript コードを含むリポジトリでのみ利用可能であることにも言及することが重要です。