脆弱性コンテキスト解析

脆弱性コンテキスト解析エージェントを使用して、コードベースを読み込み、3つのセキュリティカテゴリにわたるコンテキストを生成します:

• 認証モデル
• 認可モデル
• 機密データ分類

エージェントを有効にすると、変更がデフォルトブランチにプッシュされるときに自動的に実行されます。エージェントがトリガーされると、次のプロセスを完了します:

1. プロジェクトのコードベースを読み込み、そのアーキテクチャとセキュリティ対策状況を理解します。
2. 3つのセキュリティコンテキストカテゴリのそれぞれについて、構造化された出力を生成します。
3. ダウンストリームのセキュリティ機能が使用できるようにコンテキストを保存します。

分析はバックグラウンドで実行されるため、このエージェントを手動でトリガーすることはありません。

前提条件

脆弱性コンテキスト解析エージェントを使用するには、以下の要件を満たす必要があります:

• プロジェクトまたはグループでGitLab Duoが有効になっている。
• ユーザー設定でデフォルトのGitLab Duoのネームスペースが設定されている。
• GitLab 18.10以降。
• 実験的機能が有効になっている

脆弱性コンテキスト解析フローを有効にする

この機能を使用するには、ルートグループの基本フローを有効にし、プロジェクトの機能を有効にする必要があります:

グループで基本フローを許可する

グループ内のすべてのプロジェクトで基本フローを使用できるようにすることができます。個々のプロジェクトでは、引き続きプロジェクトの設定で機能を有効にする必要があります。

グループに対して脆弱性コンテキスト解析を許可するには:

1. 左側のサイドバーで、検索または移動先を選択して、グループを見つけます。
2. 設定 > GitLab Duoを選択します。
3. 基本フローを許可で、脆弱性コンテキスト解析チェックボックスをオンにします。
4. 変更の保存を選択します。

プロジェクトでオンにする

前提条件:

• プロジェクトのセキュリティマネージャー、メンテナー、またはオーナーのロール。
• GitLab Duo Business Context Securityガイドラインサービスアカウントは、プロジェクトで少なくともメンテナーロールを持っている必要があります。

プロジェクトに対して脆弱性コンテキスト解析を許可するには:

1. 左側のサイドバーで、検索または移動先を選択して、プロジェクトを見つけます。
2. 設定 > 一般を選択します。
3. GitLab Duoを展開します。
4. 脆弱性コンテキスト解析を有効にする切替をオンにします。
5. 変更を保存を選択します。
6. 左側のサイドバーで、管理 > メンバーを選択します。
7. Duo Business Context Securityガイドラインサービスアカウントを見つけ、少なくともメンテナーロールを持っていることを確認します。

エージェントがスキャンするセキュリティコンテキスト

エージェントは3つのカテゴリでコンテキストを生成します。各カテゴリは、脆弱性の影響を評価するのに役立つ構造化された情報を提供します。

• 認証: YesまたはNo。コンポーネントが認証を必要とするかどうかを示します。
• 認可: ElevatedまたはStandard。コンポーネントの悪用が昇格された権限を必要とするかどうかを示します。
• 機密データ: YesまたはNo。コンポーネントが個人情報、認証情報、トークン、支払いデータ、健康データなどの機密データを扱うかどうかを示します。

これらの値は、脆弱性詳細ページのリスクテーブルに表示されます。

サポートされているスキャナー

脆弱性コンテキスト解析エージェントによって生成されるセキュリティコンテキストは、次のスキャナーと機能で使用されます:

• SAST

既知の問題

• エージェントはソースコードのみを分析します。ランタイムテレメトリ、動的な解析結果、および関数レベルの到達可能性データは入力として使用されません。
• コンテキストの生成は、リポジトリで利用可能な情報に依存します。最小限のドキュメントしかないプロジェクトや非標準の構造を持つプロジェクトでは、詳細なコンテキストが生成されない場合があります。
• 各分析後、24時間のデバウンスが適用されます。その期間内のプッシュは、新しい分析をトリガーしません。

関連トピック

• 脆弱性リスク評価データ
• 誤検出を自動的に検出する
• エージェント型SAST脆弱性の修正
• 脆弱性の詳細
• 脆弱性レポート