GitHub u zbulua disa ditë më parë shtimi i eksperimentet e një sistemi të mësimit të makinësl në shërbimin e skanimit të kodeve për të identifikuar llojet e zakonshme të dobësive Në kod. Me këtë, teknologjia e analizës së kodit të bazuar në CodeQL të GitHub është rinovuar dhe tani përdor mësimin e makinerive (ML) për të gjetur dobësitë e mundshme të sigurisë në kod.
Dhe është ai GitHub fitoi teknologjinë për CodeQL si pjesë e blerjes së Semmie. CodeQL përdoret nga ekipet e kërkimit të sigurisë për të kryer analiza semantike të kodit dhe GitHub e bëri atë me burim të hapur.
Me këto modele, CodeQL mund të identifikojë më shumë rrjedha të të dhënave të përdoruesve të pabesueshme dhe për këtë arsye më shumë dobësi të mundshme të sigurisë.
Vërehet se përdorimi i një sistemi të mësimit të makinerive ka bërë të mundur zgjerimin e ndjeshëm të gamës së problemeve të identifikuara, në analizën e të cilave sistemi tani nuk kufizohet në verifikimin e modeleve tipike dhe nuk është i lidhur me kornizat e njohura.
Nga problemet e identifikuara nga sistemi i ri, përmenden gabimet që çojnë në skriptimin ndër-site (XSS), shtrembërimin e shtigjeve të skedarëve (për shembull, përmes treguesit "/.."), zëvendësimin e pyetjeve SQL dhe NoSQL. .
Skanimi i kodit tani mund të gjejë më shumë dobësi të mundshme të sigurisë duke përdorur një model të ri të të mësuarit të thellë. Kjo veçori eksperimentale është e disponueshme në beta publike për magazinat JavaScript dhe TypeScript në GitHub.com.
Mjeti i ri i GitHub fue lëshuar si një beta publike falas Për të gjithë përdoruesit, funksioni përdor mësimin e makinerive dhe mësimin e thellë për të skanuar bazat e kodit dhe për të identifikuar dobësitë e zakonshme të sigurisë përpara se një produkt të dërgohet.
Funksioni eksperimental është aktualisht i disponueshëm për të gjithë përdoruesit e platformës, duke përfshirë përdoruesit e GitHub Enterprise si një veçori e avancuar e sigurisë GitHub, dhe mund të përdoret për projektet e shkruara në JavaScript ose TypeScript.
Me evolucionin e shpejtë të ekosistemit me burim të hapur, ka një bisht të gjatë gjithnjë e në rritje të bibliotekave që përdoren më rrallë. Ne përdorim shembuj nga pyetjet e krijuara manualisht të CodeQL për të trajnuar modelet e mësimit të thellë për të njohur bibliotekat me burim të hapur, si dhe bibliotekat me burim të mbyllur të zhvilluara brenda.
Mjeti është krijuar për të kërkuar katër dobësitë më të zakonshme që prekin projektet e shkruara në këto dy gjuhë: skriptimi ndër-site (XSS), injektimi i rrugës, injeksioni NoSQL dhe injeksioni SQL.
Shërbimi i skanimit të kodit ju lejon të zbuloni dobësitë në një fazë të hershme të zhvillimit duke skanuar çdo operacion git push për probleme të mundshme.
Rezultati i bashkëngjitet drejtpërdrejt kërkesës për tërheqje. Më parë, kontrolli bëhej duke përdorur motorin CodeQL, i cili analizon modelet me shembuj tipikë të kodit të cenueshëm (CodeQL ju lejon të gjeneroni një shabllon të kodit të cenueshëm për të zbuluar praninë e një cenueshmërie të ngjashme në kodin e projekteve të tjera).
Me aftësitë e reja të analizës, skanimi i kodit mund të gjenerojë edhe më shumë sinjalizime për katër modele të zakonshme të cenueshmërisë: Skriptimi në vend (XSS), Injektimi i rrugës, Injeksioni NoSQL dhe Injeksioni SQL. Së bashku, këto katër lloje dobësish përfaqësojnë shumë nga dobësitë e fundit (CVE) në ekosistemin JavaScript/TypeScript dhe përmirësimi i aftësisë së skanimit të kodit për të zbuluar dobësi të tilla në fillim të procesit të zhvillimit është çelësi për të ndihmuar zhvilluesit të shkruajnë kod më të sigurt.
Motori i ri i mësimit të makinerive mund të identifikojë dobësitë e panjohura më parë sepse nuk është i lidhur me përsëritjen e modeleve të kodit që përshkruajnë dobësi specifike. Çmimi i një mundësie të tillë është një rritje e numrit të pozitivëve të rremë në krahasim me kontrollet e bazuara në CodeQL.
Më në fund për ata që janë të interesuar të dinë më shumë për të, mund të kontrolloni detajet Në lidhjen vijuese.
Gjithashtu është e rëndësishme të përmendet se në fazën e testimit, funksionaliteti i ri është aktualisht i disponueshëm vetëm për depot me kod JavaScript dhe TypeScript.