Процес Blue Team

/lagune-charter: встановіть принципи безпеки

Встановіть принципи безпеки свого проєкту, правила, яких дотримується кожна наступна фаза, і запишіть категорії спеціалізацій, які підтверджує аналіз проєкту.

🧬 Розкажіть Lagune, що являє собою ваш проєкт, і він перетворить це на ваші правила безпеки (а без опису виведе їх лише з самого проєкту).

Charter є керівним рівнем: набором принципів, що ставлять безпеку на перше місце і яких має дотримуватися кожна наступна фаза. Сприймайте її як перевірку під час компіляції для рівня захищеності вашого проєкту.

Використання​

/lagune-charter Мій проєкт є інтернет-магазином, що продає відеоігри. Клієнти додають товари в кошик і платять кредитною карткою або банківським рахунком-фактурою. Вони бачать свої замовлення та статус кожного з них.

Що він визначає​

Lagune бере ваш опис або PRD як напрям і визначає, що з нього випливає для безпеки, а потім читає проєкт, щоб піти далі за те, що ви назвали. Наприклад:

  • Кошик, що зберігає замовлення, означає, що є база даних:
    • наприклад, "Де зберігаються дані?", "Хто має до них доступ?", "Чи вони витікають?".
  • Клієнти, які бачать власні замовлення, означають, що є якийсь вхід або контроль доступу:
    • наприклад, "Чи може один клієнт дістатися до чужих замовлень?", "Чи захищені сесії?".
  • Прийом оплати карткою й банківським рахунком означає, що задіяні гроші й чутливі дані:
    • наприклад, "Чи зберігаються дані карток?", "Чи перевіряються платежі?".

Ваш опис і проєкт доповнюють одне одного: опис задає намір, а читання залежностей, README і конфігурації виявляє те, про що ви не згадали. Якщо щось важливе все ще незрозуміле, Lagune ставить коротке й просте запитання, а не вгадує.

Далі Lagune складає для проєкту набір правил безпеки, які ви можете переглянути й підлаштувати будь-коли.

Як отримати максимум
  • Ви також можете визначити власні правила безпеки для проєкту.
  • Що більше доречних подробиць ви надасте, то кращим буде підсумковий звіт:
    • Поясніть, що за проєкт, як він працює і що відбувається під капотом.
    • Хто кінцевий користувач? Що користувачі можуть робити, а чого ні?
    • Подробиці про поведінку так само цінні, як і технічні.
  • Пам'ять принципів безпеки зберігається в .lagune/memory/charter.md.

Які категорії вона записує​

Спеціалізації, тобто знання з безпеки, які наступні фази завантажують на вимогу, потрапляють до каталогу вашого проєкту за категоріями. Поки в проєкті не записано жодної категорії, charter записує кожну, яку підтверджує її аналіз, як-от мову проєкту, виклики LLM чи контейнери, і називає їх у підсумку.

Коли категорії вже записано, charter залишає їх як є і лише називає категорію, якої ваш проєкт ще не використовує. Змінюйте їх самі будь-коли:

npx lagune write add --categories python
npx lagune write remove --categories python

Далі​

Коли правила встановлено, визначте, що насправді робить ваша система: /lagune-detect.

Часті запитання

Charter є керівним рівнем Lagune, набором принципів, що ставлять безпеку на перше місце і яких має дотримуватися кожна наступна фаза. Сприймайте її як перевірку під час компіляції для рівня захищеності вашого проєкту.

У .lagune/memory/charter.md.

Так. Lagune пропонує правила на основі вашого опису й коду, а ви можете переформулювати, прибрати, додати їх або звузити їхній обсяг.

Лише поки жодної не записано. Тоді вона записує кожну категорію, яку підтверджує її аналіз, як-от вашу мову чи виклики LLM. Коли категорії вже записано, вона їх ніколи не змінює.