Ringkasan
Claude Security adalah kemampuan yang tertanam dalam Claude yang terus memantau basis kode Anda untuk menemukan kerentanan keamanan, melacak setiap temuan hingga diperbaiki, dan menyarankan patch yang ditargetkan untuk ditinjau manusia. Ini membantu tim menemukan dan memperbaiki masalah yang sering terlewatkan oleh metode tradisional.
Claude Security kini tersedia dalam beta publik untuk pengguna pada paket Enterprise.
Pelajari cara memulai dan bagaimana perusahaan terkemuka menggunakan alat ini di sini: Memulai dengan Claude Security.
Claude Security memungkinkan Anda untuk:
Pindai basis kode Anda secara holistik — Claude Security memahami bagaimana kode Anda cocok bersama, melacak aliran data di seluruh file dan repositori dalam proyek, dan mengidentifikasi kerentanan dan bug multi-komponen yang kompleks yang tidak dapat dideteksi oleh pemindai berbasis aturan tradisional.
Deep Scan — Buat proyek dan hubungkan hingga delapan repositori dari GitHub atau penyedia Git lainnya. Claude membaca kode, menulis model ancaman, dan menjalankan pemindaian dasar yang mendalam.
Continuous Scanning — Claude Security menjalankan pemindaian efisien ketika komit baru tiba, dan menampilkan temuan baru apa pun untuk remediasi cepat.
Tambahkan apa yang tidak dapat ditunjukkan kode — Beri tahu Claude bagaimana kode Anda digunakan, siapa yang dapat mengaksesnya, dan risiko apa yang telah Anda terima. Setiap proyek menyimpan ini dalam model ancaman, dan Claude menggunakannya untuk memutuskan apa yang akan ditandai dan cara menilainya.
Validasi temuan — Setiap temuan melalui verifikasi multi-tahap, dengan Claude secara kritis meninjau temuannya sendiri sebelum ditampilkan. Hasilnya: lebih sedikit positif palsu, lebih sedikit kebisingan.
Tinjau dan perbaiki — Bergerak dengan mulus dari temuan ke sesi Claude Code untuk menghasilkan perbaikan yang ditargetkan. Selesaikan kerentanan dengan cepat alih-alih menumpuk backlog.
Lacak perbaikan — Claude memeriksa temuan terbuka terhadap kode yang berubah dan menandainya sebagai diperbaiki ketika perbaikan tiba.
Integrasikan ke alur kerja Anda — Baca dan selesaikan temuan melalui API Claude Security atau konektor Claude Security (MCP) di Claude dan Claude Code, dan dapatkan webhook ketika temuan baru ditambahkan.
Kontrol akses — Bagikan setiap proyek dengan peran Full, Triage, atau View. Admin dapat memutuskan siapa yang dapat membuat proyek dan siapa yang dapat melihat, melakukan triase, atau mengelola semua proyek dengan RBAC.
Jenis temuan
Temuan termasuk dalam kategori contoh di bawah ini.
Injection (SQL, Command, Code, XSS): Input yang tidak dipercaya mengubah struktur kueri atau dieksekusi. Misalnya, ' OR 1=1--, ; rm -rf /, <script> dalam komentar.
Injection (XXE, ReDoS): Parser atau regex disalahgunakan oleh input yang dirancang. Misalnya, XML <!ENTITY> membaca /etc/passwd.
Path & Network (Path traversal, SSRF, Open redirect): Input mengontrol jalur file, tujuan permintaan, atau pengalihan. Misalnya, ../../etc/passwd, mengambil http://169.254.169.254/.
Auth & Access (AuthN bypass, PrivEsc, IDOR/BOLA, CSRF, Race): Pemeriksaan akses hilang, dapat dilewati, atau bergerak cepat. Misalnya, GET /orders/123 mengembalikan pesanan orang lain.
Memory Safety (Buffer/integer overflow, UAF, unsafe misuse): Input menulis melampaui batas, membungkus aritmatika, atau mengenai memori yang dibebaskan. Sebagian besar C/C++/Rust unsafe.
Cryptography (Timing leaks, algorithm confusion, weak primitives): Cabang yang bergantung pada rahasia, JWT alg=none, atau MD5/SHA-1/DES/ECB dalam jalur keamanan.
Deserialization (Arbitrary type instantiation): Byte yang tidak dipercaya mendorong konstruksi objek — pickle, Java readObject, YAML load. Sering kali sama dengan RCE.
Protocol & Encoding (Cache safety, encoding confusion, length-prefix trust): Lapisan tidak setuju atau mempercayai ukuran yang dinyatakan. Misalnya, cache poisoning melalui header Host.
Tingkat keparahan
Tingkat keparahan ditugaskan per temuan berdasarkan seberapa dapat dieksploitasi dalam basis kode Anda, bukan kategori itu sendiri—jadi kategori yang sama dapat mendarat pada tingkat keparahan yang berbeda di repositori yang berbeda. Claude menggunakan model ancaman proyek untuk menilai tingkat keparahan.
Tingkat keparahan | Kriteria | Contoh tipikal |
Kritis | Dapat dieksploitasi melalui jaringan oleh siapa pun, tanpa login, tanpa tindakan oleh korban, dan tanpa kondisi khusus. Ini memungkinkan penyerang untuk membaca dan mengubah data. | Eksekusi kode jarak jauh yang tidak diautentikasi dalam layanan yang menghadap internet. |
Tinggi | Dampak serius, tetapi kurang dari Kritis: penyerang memerlukan login atau tindakan korban, atau kerusakan bersifat parsial (misalnya, data dapat dibaca tetapi tidak diubah). | Injeksi SQL di balik login yang memungkinkan penyerang membaca dan mengubah data. |
Sedang | Dampak terbatas (misalnya, sejumlah kecil data non-sensitif), dengan satu prasyarat yang realistis seperti login. | Injeksi SQL di balik login yang hanya mengekspos beberapa bidang non-sensitif. |
Rendah | Dampak terbatas, dan memerlukan login atau kedekatan jaringan ditambah kondisi khusus di luar kontrol penyerang. | Saluran samping waktu yang memerlukan kedekatan jaringan dan ribuan permintaan. |
Struktur temuan
Setiap temuan berisi bidang berikut:
Judul — nama deskriptif singkat dari temuan
Tingkat keparahan — Kritis / Tinggi / Sedang / Rendah
Kategori — jenis temuan, dengan ID CWE-nya jika ada
Lokasi — jalur file dan rentang baris, tertaut ke sumber. Temuan dapat mengutip beberapa file dan repositori.
Status — Terbuka atau Diselesaikan, dengan tanggal ditemukannya.
Penerima — orang yang ditugaskan temuan, jika ada
Yang ditemukan Claude — deskripsi tentang apa temuan tersebut dan mengapa hal itu penting. Dapat mencakup diagram jalur serangan.
Cara memperbaiki — panduan tentang cara menyelesaikannya
Bukti — file dan rentang baris yang dikutip Claude, dikelompokkan berdasarkan repositori, dengan cabang dan komit yang dipindai
Cara serangan bekerja — bagaimana penyerang akan mencapai dan mengeksploitasi masalah
Mengapa Claude percaya — penilaian Claude, mencakup skenario eksploitasi, prasyaratnya, dan dampaknya
Riwayat — setiap perubahan pada temuan, yang terbaru terlebih dahulu
Ditampilkan hanya jika temuan telah diselesaikan:
Resolusi — Ditandai diperbaiki, Diperbaiki oleh permintaan tarik yang digabungkan, atau Ditolak sebagai positif palsu, risiko yang diterima, duplikat, atau alasan lain
Catatan triase — opsional
Pemecahan masalah
Halaman keamanan terus dialihkan ke "Instal Aplikasi GitHub"
Halaman claude.ai/security menjalankan pemeriksaan per-pengguna terhadap akun GitHub yang terhubung Anda sendiri, sehingga ini dapat gagal untuk Anda meskipun instalasi di seluruh organisasi berfungsi untuk orang lain. Ada beberapa kemungkinan penyebab:
Tidak ada akun GitHub yang terhubung di Claude. Buka Customize > Connectors untuk memeriksa ini.
Akun GitHub yang terhubung bukan anggota organisasi GitHub tempat aplikasi diinstal. Hubungkan akun yang termasuk dalam organisasi tersebut.
SSO tidak diotorisasi untuk organisasi tersebut. Jika organisasi GitHub Anda memerlukan SSO, Anda harus mengotorisasi aplikasi Claude untuk itu secara terpisah. Ikuti langkah-langkah di Gunakan integrasi GitHub.
Daftar izin IP organisasi GitHub Anda memblokir pemeriksaan. Pengaturan GitHub "Enable IP allow list configuration for installed GitHub Apps" mencakup lalu lintas dari Aplikasi itu sendiri, seperti Code Review, tetapi tidak mencakup pemeriksaan per-pengguna ini. Untuk mengizinkannya, tambahkan secara manual 160.79.104.0/21 sebagai entri daftar izin tingkat organisasi. Untuk daftar lengkap rentang, lihat Alamat IP.
Pertanyaan yang sering diajukan
Memulai
Apa yang saya butuhkan sebelum saya dapat menggunakan Claude Security?
Paket Claude Enterprise aktif, kursi premium untuk setiap pengguna, dan kredit penggunaan diaktifkan untuk penagihan konsumsi. Pemilik mengaktifkan Claude Security di Pengaturan Organisasi > Claude Security. Lihat panduan memulai untuk langkah-langkah penyiapan.
Bagaimana cara memberi Claude Security akses ke repositori saya?
Untuk GitHub.com dan GitHub Enterprise Server, pemilik menginstal Aplikasi Claude GitHub dan memberikan akses ke repositori yang ingin Anda pindai. Untuk penyedia Git lainnya, seperti GitLab dan Bitbucket, Anda memerlukan alamat repositori dan token autentikasi.
Bisakah saya memindai repositori yang tidak ada di GitHub?
Ya. Proyek dapat dibuat dengan repositori yang dihosting di GitHub.com dan GitHub Enterprise Server, atau repositori yang dihosting di server Git lain dengan token autentikasi (termasuk server Git yang dapat diakses publik yang di-host sendiri).
Alamat IP mana yang perlu saya izinkan?
Gunakan panduan Anthropic untuk daftar izin alamat IP. Jika Anda menggunakan GitHub Enterprise Server atau penyedia Git lain, instans Anda harus mengizinkan lalu lintas masuk dari alamat IP ini sehingga Claude Security dapat menjangkau repositori Anda.
Apakah Claude Security mendukung Zero Data Retention (ZDR)?
Tidak. Anthropic dapat menyimpan data jika diperlukan oleh hukum atau untuk mengatasi pelanggaran Kebijakan Penggunaan.
Apa yang terjadi pada proyek yang ada dengan pembaruan terbaru?
Proyek yang ada terus berjalan seperti sekarang dan masih tersedia dari halaman beranda Claude Security. Proyek baru menggunakan pengalaman baru.
Bisakah saya memigrasikan proyek yang ada?
Ya, jika Anda memiliki proyek. Buka dan klik "Migrate project", atau klik "Migrate your projects" di halaman beranda Claude Security untuk memigrasikan setiap proyek yang Anda miliki. Claude Security membuat proyek baru, menyalin temuan ke dalamnya, dan mengarsipkan yang asli. Anggota, webhook, direktori yang dikecualikan, riwayat pemindaian, dan pemindaian terjadwal tidak disalin. Proyek GitHub Enterprise tidak dapat dimigrasikan.
Pemantauan berkelanjutan
Berapa lama pemindaian pertama memakan waktu?
Tergantung pada ukuran repositori, pemindaian dasar dapat memakan waktu beberapa menit atau jam. Anda dapat meninggalkan halaman saat berjalan. Jika Anda telah mengaktifkan notifikasi email untuk Claude Security, Anda akan menerima email saat pemindaian proyek Anda selesai dan memiliki temuan baru.
Berapa lama pemindaian lanjutan memakan waktu?
Waktu pemindaian bervariasi berdasarkan repositori dan tindakan agen.
Seberapa sering Claude memindai setelah pemindaian dasar?
Claude memeriksa komit baru dan memindai perubahan secara teratur, berdasarkan risiko dan kompleksitasnya. Tidak ada jadwal yang tetap.
Mengapa dua pemindaian kode yang sama dapat mengembalikan hasil yang berbeda?
Pemindaian bersifat stokastik sesuai desain. Tidak seperti penganalisis statis tradisional, Claude Security menggunakan agen yang menyesuaikan analisisnya dengan setiap jalankan, bernalar atas konteks kode daripada menerapkan kecocokan pola tetap. Ini memungkinkan kedalaman analisis yang diperlukan untuk menangkap kerentanan tingkat logika.
Bagaimana cara menyiapkan repositori besar atau monorepo?
Tetapkan cakupan folder pada repositori daripada memindai repositori lengkap, dan kecualikan folder yang tidak perlu Anda tutupi. Claude masih dapat menarik konteks dari sisa basis kode sesuai kebutuhan.
Berapa banyak repositori yang dapat dimiliki proyek?
Hingga delapan. Repositori dapat dalam cakupan, sehingga Claude memindainya dan melaporkan temuan, atau digunakan hanya untuk konteks, sehingga Claude membacanya selama pemindaian tetapi tidak melaporkan temuan di dalamnya. Keduanya dihitung menuju batas. Kelola repositori proyek di tab Sumber Daya.
Bagaimana cara memberi tahu Claude tentang lingkungan saya?
Buka tab Pengetahuan proyek untuk mengedit model ancaman dan menambahkan dokumen seperti dokumen arsitektur. Claude menggunakannya untuk memutuskan apa yang akan ditandai dan cara menilainya.
Model mana yang digunakan Claude Security?
Pemindaian Claude Security didukung oleh model Claude Mythos. Pengguna menerima temuan tanpa akses model langsung. Obrolan setiap proyek dengan Claude menggunakan model yang dipilih tim Anda dari yang diizinkan organisasi Anda. Subkomponen tertentu dari Claude Security dapat menggunakan model lain ketika penalaran kelas Mythos tidak diperlukan, misalnya untuk menghitung direktori proyek.
Temuan dan perbaikan
Bagaimana tingkat keparahan ditentukan, dan dapatkah saya mengubahnya?
Claude menilai setiap temuan terhadap model ancaman proyek Anda, yang dapat diedit dan dikoreksi oleh tim Anda.
Bagaimana jika temuan menggambarkan serangan yang tidak mungkin terjadi di lingkungan saya?
Claude menulis model ancaman dari kode Anda, sehingga dapat melewatkan konteks penyebaran dan pola yang telah diterima perusahaan Anda. Di chat proyek, beri tahu Claude mengapa temuan tersebut salah dan minta untuk memperbarui model ancaman. Claude menggunakan model ancaman untuk memutuskan apa yang akan ditandai dan cara menilainya.
Bagaimana cara memperbaiki temuan?
Klik "Perbaiki" pada temuan untuk membuka Claude Code dan memperbaiki kerentanan spesifik tersebut. Tanpa Claude Code di cloud, Anda menyalin prompt ke Claude Code Anda sendiri.
Bagaimana cara kerja pelacakan perbaikan?
Claude memeriksa kembali temuan ketika kode berubah di repositori. Temuan yang ditandai sebagai diperbaiki akan dibuka kembali secara otomatis jika Claude kemudian menemukan masalah tersebut lagi.
Apa yang terjadi ketika saya menolak temuan?
Temuan yang ditolak tidak akan muncul kembali dalam pemindaian di masa mendatang. Anda dapat menolak temuan sebagai positif palsu, risiko yang diterima, duplikat, atau untuk alasan lain, dan menambahkan catatan triase.
Integrasi dan notifikasi
Bagaimana cara mengekspor temuan ke alat saya sendiri?
Untuk mengekspor temuan ke sistem pelacakan dan notifikasi Anda sendiri, gunakan Claude Security API, konektor Claude Security, atau webhook.
Bagaimana cara menggunakan Claude Security API?
Buat token akses pribadi di pengaturan Claude Security. Token bertindak sebagai Anda: token hanya dapat melihat dan mengubah apa yang dapat Anda lakukan. Dengan API, Anda dapat membuat daftar dan membaca proyek dan temuan, menyelesaikan dan membuka kembali temuan, serta membuat dan mengelola proyek dan repositori mereka.
Apa yang dapat dilakukan konektor Claude Security (MCP)?
Dengan konektor Claude Security, Claude dan Claude Code dapat membuat daftar dan membaca proyek dan temuan Anda serta menyelesaikan atau membuka kembali temuan ketika Anda memintanya.
Bagaimana cara saya mendapatkan pemberitahuan ketika ada temuan baru?
Buat webhook di pengaturan Claude Security untuk mendorong acara temuan baru ke sistem Anda sendiri, seperti Slack atau Jira.
Akses dan berbagi
Bagaimana admin mengontrol siapa yang dapat menggunakan Claude Security?
Admin dapat memutuskan peran RBAC mana yang dapat membuat proyek dan mana yang dapat melihat, melakukan triase, atau mengelola semua proyek dengan mengonfigurasi kemampuan di peran kustom.
Bagaimana cara saya berbagi proyek, dan apa yang dapat dilakukan setiap peran?
Di proyek, klik "Bagikan" untuk memberikan anggota peran: Penuh (kelola temuan, pengaturan, dan siapa yang memiliki akses), Triase (lihat temuan, perbarui status mereka, dan mulai perbaikan), atau Lihat. Anda juga dapat berbagi proyek dengan seluruh organisasi Anda.
Harga
Berapa biaya Claude Security?
Claude Security dikenakan biaya hanya dengan biaya token langsung. Tidak ada biaya platform tambahan. Penggunaan mencakup pemindaian dan pekerjaan lain yang dilakukan Claude Security di proyek: menulis model ancaman, chat proyek, dan memeriksa perbaikan.
Bagaimana cara saya mengontrol dan melacak biaya Claude Security?
Anda dapat menetapkan batas pengeluaran terpisah untuk Claude Security. Buka Penggunaan di pengaturan proyek untuk melihat biayanya untuk bulan hingga saat ini dan per hari.
Apakah ada penawaran peluncuran untuk Claude Security yang diperbarui?
Ya, organisasi Claude Enterprise yang memenuhi syarat menerima kredit penggunaan gratis hingga $25.000 per bulan, selama dua bulan, hingga 31 Desember 2026. Syarat penawaran peluncuran lengkap di bawah.
Apakah penawaran peluncuran juga berlaku untuk pengalaman lama?
Tidak, penawaran peluncuran hanya berlaku untuk proyek yang dibuat dengan pengalaman baru.
Plugin Claude Security untuk Claude Code
Apa itu plugin Claude Security untuk Claude Code?
Plugin Claude Security untuk Claude Code adalah fitur terpisah, berdasarkan teknologi yang sama dengan Claude Security. Tersedia untuk pengguna yang ingin mengintegrasikan pemindai langsung ke alur kerja mereka tanpa mengandalkan infrastruktur agen yang dihosting Anthropic, yang memiliki persyaratan Zero Data Retention (ZDR), atau yang memerlukan akses model melalui penyedia pihak ketiga. Pelajari lebih lanjut di sini: Pindai basis kode Anda untuk menemukan kerentanan.
Apakah plugin Claude Security untuk Claude Code menggunakan model yang sama?
Belum tentu. Plugin menggunakan model apa pun yang tersedia di akun Claude Code Anda.
Ruang lingkup penggunaan: Anda hanya akan menggunakan Claude Security untuk memindai kode yang Anda atau perusahaan Anda miliki dan yang Anda atau perusahaan Anda miliki semua hak yang diperlukan untuk memindai. Anda tidak akan menggunakan Claude Security untuk memindai kode yang dimiliki oleh atau dilisensikan dari pihak ketiga, termasuk tetapi tidak terbatas pada proyek sumber terbuka atau repositori selain yang disertakan dalam basis kode perusahaan Anda.
Syarat penawaran peluncuran Claude Security
Siapa yang memenuhi syarat: Organisasi Claude Enterprise, termasuk Claude Enterprise yang dibeli melalui AWS Marketplace.
Apa yang Anda dapatkan: Hingga $25.000 dalam kredit promosi untuk penggunaan Claude Security di masing-masing dua bulan berturut-turut. Setiap bulan berjalan dari tanggal mulai organisasi Anda hingga tanggal yang sama bulan berikutnya. Kredit yang tidak digunakan dari satu bulan tidak dapat dibawa ke bulan berikutnya.
Cara mendapatkannya: Tidak perlu mendaftar. Kredit diterapkan secara otomatis untuk penggunaan di Claude Security baru. Penggunaan dalam proyek dari versi sebelumnya tidak tercakup sampai mereka dimigrasikan.
Kapan dimulai: Organisasi yang sudah memiliki Claude Enterprise dimulai pada 21 Oktober 2026. Organisasi yang mendaftar untuk Claude Enterprise setelah tanggal tersebut dimulai pada hari mereka mendaftar. Dua bulan berjalan terlepas dari apakah organisasi Anda menggunakan Claude Security.
Kapan berakhir: Penawaran berakhir pada akhir hari 31 Desember 2026 (UTC), bahkan jika dua bulan Anda belum selesai. Organisasi yang mendaftar setelah 1 November 2026 tidak akan mendapatkan dua bulan penuh.
Bagaimana kredit diterapkan: Kredit digunakan sebelum pengeluaran berkomitmen atau kredit penggunaan organisasi Anda, dan terpisah dari kredit penggunaan prabayar apa pun. Setelah kredit digunakan atau penawaran berakhir, penggunaan Claude Security dikenakan biaya dengan biaya token langsung.
Di mana melihatnya: Admin organisasi dapat melihat saldo promosi di Pengaturan Organisasi > Penggunaan, di bawah Layanan, atau di Pengaturan Organisasi > Claude Security, di bawah Batas pengeluaran.
Syarat Penawaran Kredit Promosi Claude juga berlaku, termasuk kapan kredit dapat hilang dan kapan penawaran dapat berubah. Jika berbeda dari artikel ini tentang penawaran ini, artikel ini berlaku.