Процесс Blue Team

/lagune-charter: задайте принципы безопасности

Задайте принципы безопасности проекта, правила, которые соблюдает каждая следующая фаза, и зафиксируйте категории специализаций, которые подтверждает анализ проекта.

🧬 Расскажите Lagune, что представляет собой ваш проект, и он превратит это в ваши правила безопасности (а без описания выведет их из самого проекта).

Принципы безопасности образуют управляющий уровень: набор принципов с приоритетом безопасности, которые обязана соблюдать каждая следующая фаза. Считайте их проверкой во время компиляции для уровня защищенности вашего проекта.

Использование​

/lagune-charter Мой проект: интернет-магазин видеоигр. Покупатели добавляют товары в корзину и платят банковской картой или по счету. Они видят свои заказы и статус каждого из них.

Что он выясняет​

Lagune берет ваше описание или PRD за основу и выясняет, что из него следует для безопасности, а затем читает проект, чтобы пойти дальше того, что вы назвали. Например:

  • Корзина, в которой хранятся заказы, означает, что есть база данных:
    • например, "Где хранятся данные?", "У кого есть к ним доступ?", "Есть ли утечки?".
  • Покупатели, которые видят свои заказы, означают, что есть какой-то вход в систему или контроль доступа:
    • например, "Может ли один покупатель добраться до заказов другого?", "Защищены ли сессии?".
  • Прием оплаты картой и по счету означает, что затронуты деньги и чувствительные данные:
    • например, "Хранятся ли данные карт?", "Проверяются ли платежи?".

Ваше описание и проект дополняют друг друга: описание задает намерение, а чтение зависимостей, README и конфигурации выявляет то, о чем вы не упомянули. Если что-то важное по-прежнему неясно, Lagune задает короткий простой вопрос, а не гадает.

Отсюда Lagune составляет набор правил безопасности, подогнанный под проект, который вы можете просмотреть и скорректировать в любой момент.

Как извлечь максимум
  • Вы также можете задать собственные правила безопасности для проекта.
  • Чем больше относящихся к делу подробностей вы дадите, тем лучше итоговый отчет:
    • Объясните, что это за проект, как он работает и что происходит внутри.
    • Кто конечный пользователь? Что пользователи могут делать, а что нет?
    • Подробности о поведении так же ценны, как технические подробности.
  • Память принципов безопасности хранится в .lagune/memory/charter.md.

Какие категории он фиксирует​

Специализации, знания о безопасности, которые следующие фазы загружают по запросу, попадают в каталог проекта по категориям. Пока у проекта не зафиксировано ни одной категории, charter фиксирует каждую, которую подтверждает анализ проекта, например язык проекта, вызовы LLM или контейнеры, и называет их в своей сводке.

Когда категории уже зафиксированы, charter оставляет их как есть и лишь называет категорию, которую проект пока не использует. Меняйте их сами в любой момент:

npx lagune write add --categories python
npx lagune write remove --categories python

Что дальше​

Когда правила заданы, выявите, что на самом деле делает ваша система: /lagune-detect.

Частые вопросы

Принципы безопасности образуют управляющий уровень Lagune, набор принципов с приоритетом безопасности, которые обязана соблюдать каждая следующая фаза. Считайте их проверкой во время компиляции для уровня защищенности вашего проекта.

В .lagune/memory/charter.md.

Да. Lagune предлагает правила на основе вашего описания и кода, а вы можете их переформулировать, убрать, дополнить или сузить их охват.

Только пока ни одна не зафиксирована. Тогда он фиксирует каждую категорию, которую подтверждает анализ проекта, например ваш язык или вызовы LLM. Когда категории уже зафиксированы, он никогда их не меняет.