Security Agentがレビューする内容
スキャンを開始すると、Security Agentは次のことを行います：- ルート、API、データフロー、エントリポイントをマッピングします。
- アプリケーションの脅威モデルを構築します。
- コードベース全体で静的解析を実行します。
- アプリケーションのコンテキストで検出結果を評価します。
- レビュー用の検出結果レポートを生成します。
Agentセキュリティスキャンを開始する
1
Security Centerを開く
プロジェクトのToolsペインでSecurity Centerを選択します。PublishフローからReview securityを選択することもできます。
2
スキャンを開始する
Run scan with Agentを選択します。
3
必要に応じてコンテキストを追加する
必要に応じてコンテキストを追加し、脅威モデルをアプリケーションの特定の領域に絞り込んでから、セキュリティスキャンを開始します。
4
レビューを待つ
Security Agentがレビューを完了するのを待ちます。通常は数分かかり、大規模なプロジェクトでは最大15分かかることがあります。
検出結果のレビューと修正
1
レポートをレビューする
Security Centerで各検出結果とその深刻度を確認します。理解し
受け入れる検出結果は却下するか、修正のために送信する前に検出結果
を修正します。
2
承認した検出結果をAgentで修正する
承認した問題をAgentに送信します。Security Agentは脆弱性を別々の
タスクに整理するため、Agentは複数の修正を並行して作業できます。
3
スキャンを再実行する
Agentが修正を適用したら、別のスキャンを実行して問題が解決された
ことを確認します。大規模なプロジェクトでは、深刻度の高い検出結果
が修正された後に追加の問題が明らかになることがあります。
Level 3を使用する場面
Agentセキュリティスキャンはソースコードをレビューします。ブラウザやネットワークとのやり取りを通じて実行中のアプリも確認する必要がある場合は、Level 3ブラックボックスペネトレーションテストを使用してください。Level 3はブラックボックステストとソースコードレビューを並行して実行します。制限事項とベストプラクティス
- スキャンはReplitのインフラストラクチャで実行されます。ReplitはコードやデータをSemgrep、HoundDog.ai、その他のサードパーティに送信しません。
- スキャンの設定と結果はReplit Appに紐付いたままです。
- スキャンは完全なセキュリティレビューではありません。コードレビュー、テスト、依存関係レビュー、実行中のアプリのチェックと併用してください。
- 大きなコード変更を行った後、依存関係を追加または更新した後、新しいバージョンを発行する前にスキャンを再実行してください。
次のステップ
- プロジェクトセキュリティセンターがセキュリティチェックをどのように組み合わせているかを学びます。
- ブラックボックスペネトレーションテストで実行中のアプリの評価を追加します。
- セキュリティの概念で関連用語を確認します。