Utilisez $codex-security:propose-security-hardening pour proposer, à partir des éléments recueillis sur la sécurité du système, plusieurs façons d’en renforcer la structure ou l’architecture. Le workflow peut analyser les résultats d’un scan Codex Security terminé ou s’appuyer sur les constats, les signalements de vulnérabilités, les bilans d’incidents, les documents d’évaluation et le code source que vous lui fournissez.
Le workflow compare les options de conception et les compromis techniques associés. Codex ne modifie le dépôt qu’une fois que vous avez choisi une option et demandé sa mise en œuvre.
Rassemblez les éléments d’analyse
Fournissez au workflow les éléments suivants :
- Le répertoire d’un scan ou un ensemble de constats et de rapports.
- L’arborescence du code source à analyser et, si vous en disposez, la révision ou l’instantané correspondant.
- Les preuves de concept, les traces, les éléments recueillis lors d’incidents ou les documents d’évaluation qui étayent les constats.
- Les contraintes de performances, de mémoire, de compatibilité, de fiabilité, d’exploitation, de délai de livraison ou de périmètre des changements.
Par exemple, des failles d’autorisation récurrentes peuvent indiquer qu’il serait plus facile de faire respecter une règle au moyen d’un contrôle commun qu’en la vérifiant dans chaque gestionnaire de requêtes. Les éléments recueillis peuvent aussi justifier de conserver un correctif local plutôt que de modifier l’architecture.
Lancez le workflow
Envoyez un prompt comme celui-ci :
Utilisez $codex-security:propose-security-hardening pour analyser [scan directory or finding paths] à la lumière du code source indiqué par [source tree and revision]. Proposez plusieurs options de durcissement structurel étayées par les éléments recueillis. Précisez les compromis techniques de chaque option. Fournissez des schémas illustrant la conception avant et après les changements proposés, un plan de migration et les consignes à transmettre à l’équipe chargée de la mise en œuvre. Ne modifiez pas le dépôt.Choisissez une option
Avant de choisir une option, vérifiez que la proposition :
- Relie chaque changement proposé aux constats, au code source et aux éléments issus du modèle de menace.
- Décrit la conception actuelle et les invariants de sécurité que la nouvelle conception doit préserver.
- Compare plusieurs options distinctes en tenant compte du risque résiduel, des performances, de la fiabilité, de l’exploitation, de la compatibilité et du coût de migration.
- Étaye sa recommandation et précise les hypothèses retenues ainsi que les questions en suspens.
- Donne des consignes pour le déploiement, la validation, le retour arrière et la mise en œuvre.
- Distingue les faits observés, les déductions et les propriétés attendues de la conception proposée.
Examinez les éléments recueillis et les compromis avant de choisir une option. Même si vous disposez d’un schéma d’architecture ou d’une recommandation de conception, vous devez vérifier les constats initiaux et valider le correctif mis en œuvre.
Utilisez les recommandations de durcissement issues d’un scan
Vous pouvez demander un dossier de recommandations de durcissement pour un scan standard, un scan approfondi ou un scan des modifications qui a produit des constats à signaler. Codex enregistre le dossier de recommandations dans hardening/hardening.md, l’analyse structurée dans hardening/hardening.json et les propositions détaillées ou les schémas dans hardening/. Le scan ajoute un lien vers le dossier de recommandations dans report.md.
Conservez toute l’arborescence du répertoire du scan pour que ces liens restent utilisables. Pour consulter les rapports sur lesquels reposent les recommandations, reportez-vous à la page Rédigez des rapports de vulnérabilité.