Cloudflare'ın güvenlik denetimi yapan ajan becerisi yenilendi

Cloudflare'ın kodlama ajanlarına güvenlik denetimi yaptıran açık kaynak becerisi security-audit, eylülde baştan yenilendi. Beceri ilk olarak 18 Haziran'da şirketin blog yazısıyla birlikte yayımlanmıştı. 10 Eylül'deki güncellemeyle denetim akışı, bulgu biçimi ve doğrulayıcılar uçtan uca yeniden yazıldı. GitHub'daki repo bugün 20 binden fazla yıldıza ulaştı. Beceri MIT lisanslı ve ücretsiz.

Altı aşamada denetim

Beceri, denetlenecek kod tabanına yönlendirilen ajana "bu kodu güvenlik açısından denetle" demekle devreye giriyor. Denetim altı aşamada ilerliyor:

• Keşif: Mimari, güven sınırları ve girdi yüzeyleri çıkarılıyor.
• Kapsam odaklı av: Her saldırı sınıfına ayrı bir ajan atanıyor.
• Aday doğrulama: Her bulgu, onu çürütmeye çalışan yeni bir ajana veriliyor.
• Yapılandırılmış çıktı: Sonuçlar şemaya göre denetlenen bir JSON dosyasına yazılıyor.
• Bağımsız kayıt doğrulaması: Yeni ajanlar son bulguları kaynak koda karşı yeniden sınıyor.
• Rapor: Doğrulanmış kayıtlardan rapor üretiliyor.

Temel ilke şu: Bir bulguyu doğrulayan ajan, onu bulan ajan olamaz. Her bulgu üç sonuçtan birini alıyor: doğrulandı, doğrulama bekliyor ya da reddedildi. Cloudflare, önlemlerden biri zaten saldırıyı engelliyorsa diğer katmanın eksikliğini açık saymıyor, sertleştirme notu olarak yazıyor.

Sınırları

Cloudflare, tek bir koşunun tekrarlanan koşuların bulduğu açıkların yalnızca yaklaşık yarısını yakaladığını söylüyor. Bu yüzden beceri önceki koşuların kayıtlarını okuyup boşlukları hedefliyor. Hedef kodun çalıştırılması için ağ erişimi kapalı, işletim sistemi düzeyinde bir yalıtım ortamı şart. Bu ortam yoksa beceri kodu çalıştırmıyor, şüpheli bulguyu "doğrulama bekliyor" diye bırakıyor. Paralel alt ajan çalıştırabilen bir kodlama ajanı ve Node.js de gerekiyor.

Cloudflare'a göre bu beceri, şirketin 128 repoyu tarayan açık bulma sisteminin çıkış noktası. Şirket haziran yazısında sistemi tek bir modele bağlamamayı öneriyor: Açığı bulan ve doğrulayan aşamalarda farklı modeller kullanılıyor.

Kaynaklar: Cloudflare security-audit-skill reposu, Cloudflare blogu: Build your own vulnerability harness.