Jak to umyka uwadze
Nie pojawiło się żadne ostrzeżenie o poświadczeniach. Czy to oznacza, że cały ładunek został skontrolowany? Jeśli ładunek przekroczył limit skanowania, to są dwie różne rzeczy. Użyteczny system monitorowania powinien tę lukę pokazywać.
Narzędzia agenta mogą generować bardzo duże argumenty i wyniki. ClawMetry utrzymuje inspekcję poświadczeń w granicach, aby jeden zbyt duży ładunek nie pochłonął nieograniczonej ilości pracy. Ważne jest informowanie Cię, gdy ta granica została osiągnięta.
Co wykrywa ClawMetry
Gdy ładunek narzędzia przekracza ograniczone skanowanie poświadczeń, ClawMetry zgłasza informacyjne znalezisko niekompletnej inspekcji. Rejestruje liczbę ograniczonych ładunków i przyczyny. Zawartość nie musi być kopiowana do znaleziska.
Różnica zmieniająca wynik
Przykład wyzwalający
Zbyt duży ładunek narzędzia
Informacja
Porównanie bez alarmu
Zwykły ładunek narzędzia
Brak znaleziska dla tego detektora.
W sprawdzanym przykładzie zbyt duży argument polecenia generuje informacyjne znalezisko o pokryciu. Zwykły argument Git status pozostaje cichy. To dowód na granicę inspekcji, nie dowód, że zbyt duży ładunek był złośliwy.
Sprawdź wynik detektora
{
"kind": "inspection_incomplete",
"severity": "info",
"evidence": {
"limited_payloads": 1,
"reasons": [
"input_size"
],
"observed": "tool_arguments_and_results"
}
}Jak sprawdzono przykład
Te przykłady oceniają opublikowany detektor z autorskimi danymi zdarzeń lub jednorazowymi plikami konfiguracyjnymi. Filmy ilustrują te zachowania. Nie są nagraniami działających agentów ani interfejsu produktu. Żadne polecenie z przykładów nie zostało wykonane.
Wynik określa zachowanie dla tych danych wejściowych. Nie ustala pozyskiwania danych w czasie rzeczywistym, zapobiegania ani rzeczywistego naruszenia. Sprawdź przypiętą umowę źródłową.
Co sprawdzić dalej
Znajdź odpowiednią aktywność narzędzia i przejrzyj część przepływu pracy, która wygenerowała zbyt dużą treść. Użyj odpowiedniego kontrolowanego przeglądu lub mniejszych danych wejściowych, aby odpowiedzieć na pytanie, którego ograniczone skanowanie nie mogło rozstrzygnąć. Utrzymuj lukę w pokryciu widoczną, dopóki nie masz tego dowodu.
- Znajdź ograniczony ładunek
- Przejrzyj jego źródło i przeznaczenie
- Usuń lukę w pokryciu
Co ustala ten sygnał
To znalezisko dotyczy skanera poświadczeń. Nie certyfikuje pokrycia każdego detektora ani nie ustanawia wrogich zamiarów.