Secrets как опциональный контур

О чём

Идентификация секретов — поиск конфиденциальной информации (ключей, токенов, паролей) в исходных кодах: разметка находок на истинные/ложные, снижение ложных срабатываний за счёт машинного обучения, сканирование по расписанию и по требованию, экспорт результатов. Предмет проверки тот же двойной, что и у TQI: (1) входит ли контур секретов в закупаемую поставку и лицензию OSA/SCA, и (2) подтверждается ли заявленная функциональность ML-модели против ложных срабатываний — или это пока только требование ТЗ.

Что подтверждено

Секреты оценивались по требованиям, но не по продукту Требования к подсистеме идентификации секретов есть только в расширенной редакции ТЗ (OSA/SCA/TQI/Secrets, §4.6). Основное исследование соответствия CodeScoring построено на базовой редакции — OSA/SCA, — и подсистема секретов в нём не оценивалась. Ниже — требования ТЗ, а не подтверждённые возможности продукта.

Что требует расширенная редакция ТЗ от подсистемы секретов (§4.6):

• идентификация конфиденциальной информации в исходных кодах;
• собственный или открытый движок определения секретов с настройкой параметров поиска;
• разметка находок на истинные/ложные;
• собственная ML-модель с дообучением для снижения ложных срабатываний;
• явный численный показатель вероятности ложно-положительного срабатывания;
• ручной запуск и сканирование по расписанию (ежедневно/еженедельно);
• загрузка результатов в формате поддерживаемых открытых движков для дальнейшего анализа и ручной разметки;
• максимально полная информация о находке — включая файл и номер строки;
• область сканирования: все ветки репозитория или ветка по умолчанию;
• экспорт табличных данных в машиночитаемом формате.

Что не подтверждено или ограничено

Соответствие требованиям по секретам не подтверждено материалами Проанализированные документация, демо и бюджетная оценка не содержат подтверждения по пунктам §4.6. Утверждать, что CodeScoring закрывает эти требования (особенно собственную дообучаемую ML-модель и численную оценку FP), на данном этапе нельзя.

• Объём лицензии и поставки. Контур секретов может быть отдельным модулем/SKU; в материалах он не выделен относительно OSA/SCA на 50 авторов. Нужно подтвердить, входит ли он в ту же поставку.
• ML-модель и метрика FP. Наличие именно собственной обучаемой модели и явного численного показателя вероятности ложного срабатывания — ключевое и непроверенное требование; это надо демонстрировать, а не принимать на слово.
• Совместимость с открытыми движками. Требуется загрузка результатов в формате поддерживаемых открытых движков определения секретов — конкретные форматы/движки не зафиксированы.
• Обработка чувствительных находок. Сами секреты — конфиденциальные данные; где они хранятся, как маскируются в интерфейсе/выгрузках и покидают ли контур — не описано, см. Данные которые покидают контур.

Что проверить на пилоте

Секреты: лицензия, ML, обращение с находками 1. Входит ли подсистема секретов в ту же лицензию и поставку, что OSA/SCA, или это отдельный модуль/SKU. 2. Демонстрация на реальном репозитории: находки с файлом и номером строки, разметка истинное/ложное, численная вероятность ложного срабатывания. 3. Какая ML-модель используется и как именно дообучается на пользовательской разметке; подтвердить снижение FP на практике. 4. Какие открытые движки/форматы поддерживаются для загрузки результатов и дальнейшего анализа. 5. Где хранятся найденные секреты, как они маскируются в UI и выгрузках, покидают ли контур; область сканирования (все ветки / ветка по умолчанию) и расписание.

Связь

• Матрица соответствия требованиям OSA SCA — основная матрица построена на OSA/SCA; секреты в ней не оценивались.
• Вопросы для пилота CodeScoring — состав поставки и опциональные контуры (вопрос 8).
• TQI как дополнительный контур — второй «дополнительный» контур расширенной редакции ТЗ.
• Данные которые покидают контур — обращение с чувствительными находками и egress.
• Критерии Go No-Go после пилота — секреты как отдельный, опциональный трек пилота.