GitHub 揭曉 幾天前添加的 機器學習系統實驗l 掃碼服務 識別常見類型的漏洞 在代碼中。 有了這個,GitHub 的基於 CodeQL 的代碼分析技術得到了改進,現在使用機器學習 (ML) 來查找代碼中的潛在安全漏洞。
就是 GitHub 獲得 CodeQL 技術 作為收購 Semmie 的一部分。 安全研究團隊使用 CodeQL 對代碼進行語義分析,GitHub 將其開源。
使用這些模型,CodeQL 可以識別更多不受信任的用戶數據流,從而識別更多潛在的安全漏洞。
據觀察,機器學習系統的使用使得顯著擴大已識別問題的範圍成為可能,在其分析中,系統現在不僅限於驗證典型模式,也不受已知框架的約束。
在新系統發現的問題中,提到了導致跨站腳本 (XSS) 的錯誤、文件路徑的扭曲(例如,通過指示“/..”)、SQL 和 NoSQL 查詢的替換。
通過利用新的深度學習模型,代碼掃描現在可以發現更多潛在的安全漏洞。 此實驗性功能在 GitHub.com 上的 JavaScript 和 TypeScript 存儲庫的公共測試版中可用。
GitHub 的新工具 fue 作為免費公開測試版發布 對於所有用戶,該功能使用機器學習和深度學習來掃描代碼庫並在產品發貨前識別常見的安全漏洞。
該實驗性功能目前可供所有平台用戶使用,包括 GitHub Enterprise 用戶作為 GitHub 高級安全功能,可用於用 JavaScript 或 TypeScript 編寫的項目。
隨著開源生態系統的快速發展,使用頻率較低的庫越來越長。 我們使用手動創建的 CodeQL 查詢中的示例來訓練深度學習模型以識別開源庫以及內部開發的閉源庫。
工具 旨在尋找四個最常見的漏洞 影響以這兩種語言編寫的項目: 跨站點腳本 (XSS)、路由注入、NoSQL 注入和 SQL 注入。
代碼掃描服務允許您通過掃描每個 git push 操作以發現潛在問題,從而在開發的早期階段檢測漏洞。
結果直接附加到拉取請求. 以前,檢查是使用 CodeQL 引擎完成的,該引擎通過典型的易受攻擊代碼示例分析模式(CodeQL 允許您生成易受攻擊代碼的模板,以檢測其他項目代碼中是否存在類似漏洞)。
借助新的分析功能,代碼掃描可以針對四種常見漏洞模式生成更多警報:跨站點腳本 (XSS)、路徑注入、NoSQL 注入和 SQL 注入。 這四種漏洞類型共同代表了 JavaScript/TypeScript 生態系統中的許多近期漏洞 (CVE),提高代碼掃描能力以在開發過程早期檢測此類漏洞是幫助開發人員編寫更安全代碼的關鍵。
新的機器學習引擎 可以識別以前未知的漏洞 因為它與描述特定漏洞的代碼模式的迭代無關。 與基於 CodeQL 的檢查相比,這種機會的代價是誤報數量的增加。
終於 對於那些有興趣了解更多信息的人,您可以查看詳細信息 在下面的鏈接中。
另外值得一提的是,在測試階段,新功能目前僅適用於帶有 JavaScript 和 TypeScript 代碼的存儲庫。