翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Q Developer コードレビューのコード問題の重要度

Amazon Q は、コードで検出されたコードの問題の重要度を定義し、アプリケーションのセキュリティ体制に対処して追跡する問題を優先できるようにします。以下のセクションでは、コードの問題の重要度を判断するために使用される方法と、各重要度レベルが意味する方法について説明します。

重要度の計算方法

コード問題の重要度は、問題を生成したディテクターによって決まります。Amazon Q Detector Library のディテクターには、共通脆弱性評価システム (CVSS) を使用して重要度が割り当てられます。CVSS は、検出結果をコンテキストでどのように悪用できるか (インターネット経由で行うか、物理的なアクセスが必要かなど）、および取得できるアクセスのレベルを考慮します。

次の表は、悪意のあるアクターがシステムを正常に攻撃するために必要なアクセスレベルと労力のレベルに基づいて重要度がどのように決定されるかを示しています。

重要度の定義

重要度レベルは次のように定義されます。

重大 – コードの問題は、エスカレーションされないようにすぐに対処する必要があります。

重大なコード問題は、攻撃者がシステムの制御を得たり、中程度の労力で動作を変更したりできることを示唆しています。重要な検出結果を最大限の緊急性で扱うことをお勧めします。また、リソースの重大度も考慮する必要があります。

高 – コードの問題は、短期的な優先度として対処する必要があります。

重要度の高いコードの問題は、攻撃者がシステムの制御や動作の変更を、高い労力で行えることを示唆しています。重要度の高い検出結果を短期的な優先度として扱い、すぐに修復手順を実行することをお勧めします。また、リソースの重大度も考慮する必要があります。

中 – コードの問題は、中期的な優先度として対処する必要があります。

重要度が中程度の検出結果は、クラッシュ、応答不能、またはシステムの可用性の低下につながる可能性があります。できるだけ早く、暗黙的なコードを調査することをお勧めします。また、リソースの重大度も考慮する必要があります。

低 – コードの問題では、単独でのアクションは必要ありません。

重要度が低い検出結果は、プログラミングエラーまたはアンチパターンを示唆しています。重要度の低い結果については、すぐにアクションを実行する必要はありませんが、他の問題と相関関係がある場合は、コンテキストを入手できます。

情報 – 推奨アクションはありません。

情報の検出結果には、品質や読みやすさの向上、代替 API オペレーションに関する提案が含まれます。即時のアクションは必要ありません。