Bugün kod gönderiminin son aşaması için iki Cursor botunu kullanıma sunuyoruz.
Rollouts, dağıtım sırasında yapılan her değişikliği izliyor ve her ortam için sağlık durumunu raporluyor.
Security Review ise her pull request’te istismar edilebilir güvenlik açıklarını bildiriyor. Her iki özellik de bugün
Teams ve Enterprise planlarında kullanıma sunuluyor.
Rollouts
- Rollouts, her pull request’e bir izleme mekanizması ekliyor ve değişikliğin dağıtım sürecindeki durumunu takip ediyor. Her ortam için sonucu şu şekilde raporluyor:
- Doğrulanmış şekilde sağlıklı
- Regresyon tespit edildi
- Sonuç belirsiz
- Rollouts, Firetiger Change Monitors'ın Cursor versiyonu; ancak Bot Development Kit kullanılarak baştan oluşturuldu. Kontrol panelinden etkinleştirin ve kaynak kod yönetim sisteminizi, dağıtım sisteminizi ve telemetri sağlayıcınızı bağlayın. Rollouts, bir sonraki pull request ile birlikte izlemeye başlar.
İzleme planları
- Bir pull request açıldığında Rollouts, değişiklikleri (diff) ve dokunduğu sistemleri analiz eder ve ardından PR'a yorum olarak bir izleme planı yazar. Plan; tespit ettiği riskleri, değişikliğin oluşturması beklenen etkiyi, kontrol edeceği sinyalleri ve değişikliğin doğrulanmasını zorlaştırabilecek eksik enstrümantasyonları listeler. Planı PR üzerinden düzenleyebilirsiniz; Rollouts sizin düzenlediğiniz sürümü kullanır.
Deploy takibi
- Rollouts, değişikliğe ait commit için gerçekleşen deploy etkinliklerini algılar ve planı loglarınız, metrikleriniz ve trace'leriniz üzerinde çalıştırır. Her ortamı ayrı ayrı takip eder; yani bir değişiklik staging ortamında doğrulanmış olsa bile production'da sorun olarak işaretlenebilir. Rollouts, hata ve gecikme sinyallerinin yanı sıra değişikliğin hedeflenen etkisini de kontrol eder ve bir sonuca ulaştığında PR üzerinden geri bildirim verir.
Regresyonlar
- Rollouts bir regresyon tespit ettiğinde, şüphelendiği değişikliği belirtir ve geliştiriciyi bilgilendirir. Yapılandırmaya bağlı olarak inceleme için bir revert PR'ı da açabilir veya bulguyu düzeltmesi için bir cloud agent'a iletebilir. Rollouts şu anda kendi başına merge veya rollback işlemi gerçekleştirmez.
Entegrasyonlar
- Rollouts, kaynak kod yönetimi için Origin veya GitHub'a, deploy etkinlikleri için continuous delivery sisteminize ve sinyaller için Datadog ve diğer telemetri sağlayıcılarına bağlanır. Feature flag entegrasyonu yakında geliyor.
Security Review
- Security Review bugün kullanıma sunuluyor. Her pull request'i kod tabanının tamamı bağlamında analiz eder ve istismar edilebilir güvenlik açıklarını bildiren tek bir review yorumu yayınlar. Kod stili ve kalite kontrolleri ise Bugbot tarafından yapılmaya devam eder.
Neleri raporlar?
- Security Review; SQL, komut ve şablon (template) yüzeylerindeki injection açıklarını, ayrıca kimlik doğrulama ve yetkilendirme atlatmalarını araştırır. Buna, bir refactor sonrasında daha önce çalışan bir işlemin artık çalışmamasına yönelik kontroller de dahildir.
- Ayrıca kaynak koduna commit edilmiş gizli anahtarları ve kimlik bilgilerini, SSRF ve doğrulanmamış yönlendirmeleri, güvenli olmayan deserialization işlemlerini ve bilinen güvenlik açıklarını sisteme dahil eden bağımlılık değişikliklerini de işaretler. Kullanıcı girdisinin sisteme nereden girdiğini ve hangi süreçlerden geçtiğini takip eder.
Bulgular
Her bulgu; bir önem derecesi, saldırı yolu ve önerilen düzeltmeyi içerir. Bir bulguyu bir gerekçeyle reddederseniz, Security Review aynı PR üzerinde bu bulguyu tekrar bildirmez.
Ekip kuralları
- Kod tabanınız için kurallar ekleyebilirsiniz. Örneğin, harici istemci çağrılarının hangi katmandan geçmesi gerektiğini veya hangi tabloların bir request handler üzerinden hiçbir zaman sorgulanmaması gerektiğini belirtebilirsiniz. Security Review bu kuralları her PR'da uygular.
