GitHub tanıtıldı birkaç gün önce eklenmesi bir makine öğrenme sistemi deneyleril tarama hizmetini kodlamak için yaygın güvenlik açığı türlerini belirlemek için Kodda. Bununla GitHub'ın CodeQL tabanlı kod analiz teknolojisi yenilendi ve artık koddaki olası güvenlik açıklarını bulmak için makine öğrenimi (ML) kullanıyor.
Ve bu GitHub CodeQL teknolojisini satın aldı Semmie satın alımının bir parçası olarak. CodeQL, güvenlik araştırma ekipleri tarafından kodun anlamsal analizini yapmak için kullanılır ve GitHub onu açık kaynak yaptı.
Bu modellerle CodeQL, daha fazla güvenilmeyen kullanıcı veri akışını ve dolayısıyla daha fazla potansiyel güvenlik açığını tanımlayabilir.
Bir makine öğrenimi sisteminin kullanılmasının, analizinde sistemin artık tipik kalıpları doğrulamakla sınırlı olmadığı ve bilinen çerçevelere bağlı olmadığı tespit edilen sorunların aralığını önemli ölçüde genişletmeyi mümkün kıldığı gözlemlenmiştir.
Yeni sistemin belirlediği sorunlardan, siteler arası komut dosyası çalıştırmaya (XSS) yol açan hatalardan, dosya yollarının bozulmasından (örneğin, "/.." işaretiyle), SQL ve NoSQL sorgularının değiştirilmesinden bahsediliyor. .
Kod tarama, yeni bir derin öğrenme modelinden yararlanarak artık daha fazla potansiyel güvenlik açığı bulabilir. Bu deneysel özellik, GitHub.com'daki JavaScript ve TypeScript depoları için genel beta sürümünde mevcuttur.
GitHub'ın yeni aracı fue ücretsiz bir genel beta olarak yayınlandı Tüm kullanıcılar için özellik, bir ürün gönderilmeden önce kod tabanlarını taramak ve yaygın güvenlik açıklarını belirlemek için makine öğrenimi ve derin öğrenmeyi kullanır.
Deneysel özellik şu anda GitHub Enterprise kullanıcıları da dahil olmak üzere GitHub Gelişmiş Güvenlik Özelliği olarak tüm platform kullanıcıları tarafından kullanılabilir ve JavaScript veya TypeScript ile yazılmış projeler için kullanılabilir.
Açık kaynak ekosisteminin hızlı evrimi ile birlikte, daha az kullanılan ve giderek artan uzun bir kitaplık kuyruğu var. Açık kaynak kitaplıklarının yanı sıra dahili olarak geliştirilmiş kapalı kaynak kitaplıklarını tanımak için derin öğrenme modellerini eğitmek için manuel olarak oluşturulan CodeQL sorgularından örnekler kullanıyoruz.
Aracı en yaygın dört güvenlik açığını aramak için tasarlanmıştır bu iki dilde yazılmış projeleri etkileyen: siteler arası komut dosyası oluşturma (XSS), rota enjeksiyonu, NoSQL enjeksiyonu ve SQL enjeksiyonu.
Kod tarama hizmeti, olası sorunlar için her bir git push işlemini tarayarak, geliştirmenin erken bir aşamasında güvenlik açıklarını tespit etmenize olanak tanır.
Sonuç doğrudan çekme isteğine eklenir. Önceden, kontrol, tipik savunmasız kod örnekleriyle kalıpları analiz eden CodeQL motoru kullanılarak yapıldı (CodeQL, diğer projelerin kodunda benzer bir güvenlik açığının varlığını tespit etmek için bir savunmasız kod şablonu oluşturmanıza olanak tanır).
Yeni analiz yetenekleriyle, Kod Tarama dört yaygın güvenlik açığı modeli için daha da fazla uyarı oluşturabilir: Siteler Arası Komut Dosyası Çalıştırma (XSS), Yol Enjeksiyonu, NoSQL Enjeksiyonu ve SQL Enjeksiyonu. Bu dört güvenlik açığı türü birlikte, JavaScript/TypeScript ekosistemindeki son güvenlik açıklarının (CVE'ler) çoğunu temsil eder ve bu tür güvenlik açıklarını geliştirme sürecinin başlarında algılamak için kod tarama yeteneğinin geliştirilmesi, geliştiricilerin daha güvenli kod yazmasına yardımcı olmanın anahtarıdır.
Yeni makine öğrenimi motoru önceden bilinmeyen güvenlik açıklarını tanımlayabilir çünkü belirli güvenlik açıklarını tanımlayan kod kalıplarının yinelenmesine bağlı değildir. Böyle bir fırsatın fiyatı, CodeQL tabanlı kontrollere kıyasla yanlış pozitiflerin sayısında bir artıştır.
Nihayet bunun hakkında daha fazla bilgi edinmek isteyenler için, detayları kontrol edebilirsiniz Aşağıdaki bağlantıda.
Ayrıca, test aşamasında, yeni işlevselliğin şu anda yalnızca JavaScript ve TypeScript koduna sahip depolar için mevcut olduğunu belirtmek önemlidir.