Actualiza el modelo de amenazas de un repositorio monitoreado cuando la versión generada omita supuestos de seguridad o detalles del despliegue. Esta guía se aplica a Codex Security en la nube. Para configurar la política del complemento local, consulta Configura el análisis.
Qué es un modelo de amenazas
Un modelo de amenazas resume cómo funciona tu repositorio desde el punto de vista de la seguridad. Codex Security crea el primer borrador a partir del código y lo usa para orientar los futuros análisis de commits y priorizar los hallazgos.
Un modelo de amenazas describe los siguientes aspectos:
- Los puntos de entrada y quién puede enviarles datos
- Los límites de confianza y los supuestos sobre autenticación o autorización
- Los datos sensibles y las acciones que requieren privilegios
- Las áreas que requieren especial atención
Por ejemplo:
La API pública de cuentas permite a los usuarios autenticados enviar solicitudes en formato JSON y subir archivos. Cada usuario solo puede modificar cuentas de su propio tenant. El servicio de identidad autentica a quien hace la solicitud, pero cada manejador debe verificar que ese usuario tenga acceso al tenant. Los cambios de facturación pasan por un servicio interno con privilegios. Da prioridad a los casos en que falte la verificación de acceso al tenant y a las rutas de carga de archivos que puedan llegar a ese servicio.
Señala los supuestos que aún no hayas confirmado. Por ejemplo, describe un punto de acceso como exclusivamente interno solo si lo es en el despliegue que quieres evaluar.
Edita el modelo de amenazas
- Abre el complemento de Codex Security en la nube. Consulta Configuración en la nube si aún no has instalado el complemento o no has configurado el monitoreo de commits.
- Abre Repositorios y selecciona el repositorio monitoreado.
- Abre Configuración de monitoreo.
- Edita Modelo de amenazas y luego selecciona Guardar.
Los cambios se aplican a los análisis futuros.
Vuelve a revisar el modelo cuando cambien la autenticación, los límites entre tenants o los servicios expuestos. Distingue los hechos sobre el despliegue de las prioridades del análisis.