CodeGraph связывает работу с исходным кодом, моделями и репозиториями с управлением доступом, проверкой данных и событиями безопасности. Команда ИБ может проследить, кто выполнил действие, определить данные для провайдера модели и найти событие в SIEM.
Этот обзор помогает руководителю ИБ, архитектору и команде закупки выбрать настройки пилота и подробные руководства. Начните с трёх решений: кто получает доступ к проектам, куда отправляются данные и какие события должен видеть SOC. Затем проверьте эти решения на одном рабочем сценарии и сохраните результаты для приёмки.
Определите границы доверия
В схеме развёртывания выделите:
- пользователей, служебные учётные записи, агентов и клиентские интерфейсы;
- API, MCP, ACP, gRPC, панель управления и CLI;
- PostgreSQL, OpenViking, GoCPG, файлы проектов и отчёты;
- провайдеров моделей и репозиториев, системы задач, SIEM и вебхуки;
- входящие и исходящие соединения, TLS, секреты, резервные копии и административный доступ.
Для каждого интерфейса укажите пользователя или служебную учётную запись, нужный проект и разрешённые действия. Проверьте, что сервер разрешает выбранное действие этой учётной записи и отклоняет действие за пределами её прав.
Проверьте учётные записи и права
Руководство OAuth и LDAP описывает вход через внешние учётные записи и сопоставление ролей. RBAC содержит подробности локальных разрешений, API-ключей и доступа к проектам. Сопоставление внешних учётных записей с ролями связывает корпоративный вход с правами CodeGraph. Для пилота назначьте роли администратора и обычного пользователя, проверьте разрешённые и запрещённые действия. Затем отзовите доступ и проверьте поведение ранее выданной сессии. Срок действия токенов и процедуру отзыва согласуйте с владельцем системы идентификации.
Проследите передачу данных модели
DLP описывает проверку содержимого перед вызовом модели и после получения ответа. Включённый сканер применяет настроенные правила: например, блокирует запрос или маскирует совпадения. Это позволяет задать правила обработки чувствительных данных в месте обращения к модели.
Безопасность LLM помогает проследить путь данных до выбранного провайдера. Зафиксируйте модель, содержимое запросов, сетевой маршрут, правила хранения и журналирования. Для внешнего провайдера включите его условия обработки данных в решение о подключении. Проверьте правило DLP на синтетическом примере и сравните результат с ожидаемым действием.
Не включайте секреты в запросы, журналы, примеры и опубликованные файлы. Применяйте правила классификации и хранения организации к отчётам и доказательствам проверки.
Проверьте события и доставку в SIEM
Интеграция SIEM объединяет события CodeGraph с потоком расследования SOC.
Syslog, CEF и LEEF передают события по UDP, TCP или TLS; диспетчер поддерживает несколько
обработчиков и очередь повторных попыток. Поле request_id связывает событие с запросом.
Выполните опубликованный пример отправки, найдите запись у получателя и сопоставьте идентификаторы.
Для пилота определите обязательные типы событий, уровни серьёзности, срок хранения, ответственного за приёмник, маршрутизацию оповещений и допустимую задержку доставки. Согласуйте действия при отказе и способ сверки потерянных событий.
Проверьте развёртывание и восстановление
Руководство по развёртыванию помогает выбрать профиль и проверить соответствующие файлы установки. Зафиксируйте точную версию, состояние сервисов, управление секретами и сетевые ограничения. Выполните проверки резервного копирования, восстановления и отката на своей конфигурации.
Разделите поставляемые компоненты и компоненты, которыми управляет организация. Размер среды выбирайте по корпусу пилота и измеренным показателям.
Проверьте управление изменениями
Управляемая поставка связывает изменение с требованиями, задачей, ответственными и результатами проверок конкретной ревизии. Для команды ИБ это даёт цепочку проверки: от причины изменения до заключения о его выпуске.
Перед приёмкой соберите результаты QA и AppSec, пользовательского сценария, восстановления и эксплуатации. Укажите согласованное действие и его область. Сверьте страницу статуса с актуальными результатами проверки, чтобы команда принимала решение по одной ревизии.
Запросите доказательства для пилота
- Модель угроз и диаграмму потоков данных с внешними провайдерами и хранилищами.
- Успешные и неуспешные проверки входа, прав, сессий и отзыва доступа.
- Проверки DLP, маскирования и фактических вызовов провайдера.
- Проверки секретов, зависимостей, исходников и публикуемых файлов выбранного релиза.
- Сведения об отправке SIEM, очереди, получении событий и восстановлении оповещений.
- Установку, состояние сервисов, пользовательский сценарий, резервное копирование, восстановление и откат.
- Найденные замечания, выбранные меры, ответственных и сроки выполнения.
- Заключения QA, AppSec, документации, поддержки и эксплуатации с привязкой к ревизии.
Для каждого результата укажите предмет проверки, среду, ревизию, конфигурацию, исполнителя и вывод. Такой пакет позволяет команде согласовать пилот, повторить проверки и сравнить следующий релиз с принятым решением.
Поддерживайте принятую конфигурацию
Повторяйте применимые проверки после изменения конфигурации, провайдера, сетевой схемы или интерфейса. Для требований законодательства и стандартов используйте профильные документы и отдельную оценку.