Справка и источники

Глоссарий Lagune: SDH, принципы безопасности, находки и меры защиты

Определения простым языком для каждого термина Lagune и Security-Driven Hardening: SDH, charter, detect, находка, мера защиты, harden, verify, снятие с учета, закрываемость, специализации, категории и каталог.

Все ключевые термины Lagune и методологии Security-Driven Hardening, каждый определен один раз и простым языком.

Security-Driven Hardening (SDH)​

Методология, которую реализует Lagune: конвенция Blue Team с учетом контекста, которая выявляет контекст системы, сортирует риски, которые этот контекст несет, и направляет исправления. Знания о безопасности заложены в спецификацию и ее специализации, загружаемые по запросу, поэтому разработчик и не разработчик проходят один и тот же процесс.

Lagune​

Эталонная реализация SDH: девять команд для агента, каждая с шаблоном, который она заполняет, и ИИ-агент запускает их, чтобы усилить защиту кодовой базы. Каждый агент устанавливает их через собственный установщик плагинов или через skills.sh, как показано на странице установки, а для каждого детерминированного шага они запускают движок Lagune.

Charter (принципы безопасности)​

Управляющий уровень Lagune: набор принципов с приоритетом безопасности, которые обязана соблюдать каждая следующая фаза. Считайте его проверкой во время компиляции для уровня защищенности проекта. Хранится в .lagune/memory/charter.md.

Процесс разработки​

Универсальная команда /lagune, которая усиливает защиту кода прямо во время написания. Она принимает любой промпт на любом этапе, создает то, что вы попросили, и защищает результат безопасными настройками по умолчанию, прежде чем вернуть его вам, следуя принципам безопасности, если они есть. Она ничего не записывает в отслеживание Lagune, поэтому ее единственный результат: защищенный код. Вместе с принципами безопасности (до) и процессом Blue Team (после) именно так Lagune защищает во время разработки.

Процесс Blue Team​

Пятифазный аудит, лежащий в основе Lagune: charter, detect, plan, harden, verify. Каждая фаза опирается на предыдущую. "Blue Team" обозначает традицию защитников в безопасности, в противовес атакующей Red Team.

Находка​

Один обнаруженный риск. Каждая находка содержит, что это такое, почему это важно, и свидетельства в коде. Находка представляет собой единственную отслеживаемую единицу, которую переносят дальше plan, harden и verify, и во всех артефактах она определяется по имени.

Мера защиты​

Мера безопасности, применяемая, чтобы закрыть риск. Harden применяет меры защиты, verify доказывает, что они действуют. Lagune никогда не ослабляет меру защиты ради промпта.

Detect​

Фаза, которая читает код и выявляет, что делает система и где находятся риски. Ее главное правило: обнаруживать, а не выдумывать. Она фиксирует только то, что подтверждает код.

Harden​

Единственная фаза, которая трогает ваш код. Она применяет исправления из плана по одному и фиксирует каждое как Applied, Partial или Blocked. Applied еще не означает, что исправление доказано.

Verify​

Фаза, которая доказывает, что каждое примененное исправление действует, читая код и сопоставляя его с тем, что зафиксировала harden. Она выносит один из трех вердиктов: Risk closed, Risk not closed или Cannot tell from the code.

Снятие с учета​

Когда verify доказывает, что риск закрыт, находка снимается с учета: с вашего подтверждения она удаляется из всей цепочки, чтобы ее больше не обрабатывали повторно.

Закрываемость​

Свойство, благодаря которому у работы по безопасности есть конечное состояние. Поскольку доказанно закрытая находка снимается с учета, процесс может прийти в состояние покоя и открывается снова, только когда меняется код. SDH закрываем, а не бесконечный цикл.

Движок​

Пакет lagune в npm, который команды запускают через npx для каждого детерминированного шага: хуков, каталога и категорий.

Специализация​

Профильный модуль знаний о безопасности, независимый от языка, который загружается только по запросу и никогда по умолчанию. Специализация не является командой. Загрузите ее в любой промпт с помощью read catalog <name> движка, например npx lagune read catalog regex.

Категория​

Именованная группа встроенных специализаций, от owasp до специализаций под конкретные языки, таких как javascript, python, go и rust. Категории, которые использует проект и которые зафиксированы в .lagune/configs.json, определяют, какие встроенные специализации попадут в его каталог. Пока не зафиксировано ни одной, проект использует только owasp.

Каталог​

Набор специализаций, которые использует проект: встроенные специализации его категорий плюс собственные, написанные с помощью /lagune-specialize. Команда движка read catalog выводит его, а фазы сопоставляют его с кодом.

Промпт по запросу​

Принцип, по которому нужные знания о безопасности подключаются под то, чем проект является на самом деле, а не все проверки запускаются по умолчанию.

Идентификация по имени​

Модель отслеживания Lagune: имя каждой находки, записанное одинаково как заголовок раздела в каждом артефакте, служит ее идентификатором во всей цепочке. Карта отслеживания (.lagune/tracking.json) хранит только отслеживание и никогда не хранит текст.

Частые вопросы

SDH представляет собой методологию безопасности Blue Team с учетом контекста. Она выявляет контекст системы, сортирует риски, которые этот контекст несет, и направляет исправления, описывая каждую находку простым языком. Lagune является ее эталонной реализацией.

Принципы безопасности образуют управляющий уровень Lagune, набор принципов с приоритетом безопасности, которые обязана соблюдать каждая следующая фаза. Они хранятся в .lagune/memory/charter.md.

Когда verify доказывает, что риск закрыт, находка снимается с учета: с вашего подтверждения она удаляется из всей цепочки, чтобы ее больше не обрабатывали повторно.