# Anzeigen und Beheben von Sicherheitswarnungen im GitHub-App Copilot

Bearbeiten Sie code scanning Warnungen zusammen mit Ihrem Code mithilfe der GitHub Sicherheitserweiterung für die GitHub Copilot app.

> [!NOTE]
> Die GitHub Sicherheitserweiterung befindet sich in Öffentliche Vorschau und kann sich ändern.

## Informationen zur GitHub Sicherheitserweiterung

Mit der GitHub Sicherheitserweiterung können Sie code scanning Warnungen finden, verstehen und beheben, ohne die GitHub Copilot app zu verlassen. Sie können ihre lokalen Änderungen auch auf neue Sicherheitsrisiken überprüfen, bevor Sie einen Pull Request öffnen.

Sie installieren die Erweiterung als Teil des `github-security` Plug-Ins. Die Erweiterung bietet eine Canvas mit der Bezeichnung **Sicherheit**, in der Sie mit vorhandenen Warnungen arbeiten und lokale Sicherheitsüberprüfungen zusammen mit Ihrer Sitzung ausführen können.

## Prerequisites

Um die GitHub Sicherheitserweiterung zu verwenden, benötigen Sie Folgendes:

* Ein Copilot-Plan und der GitHub Copilot app, bei Ihrem GitHub-Konto angemeldet. Siehe [Erste Schritte mit dem GitHub-App Copilot](/de/copilot/get-started/quickstart-copilot-app).
* Berechtigung zum Installieren des `github-security` Plug-Ins unter den verwalteten Einstellungen Ihres Unternehmens, falls konfiguriert.

Wenn Sie Copilot Business oder Copilot Enterprise verwenden, muss die Richtlinie GitHub Copilot app aktiviert sein. Wenn der Zugriff auf die App oder das Plug-In blockiert ist, wenden Sie sich an Ihren Administrator.

Um vorhandene code scanning Warnungen für ein Repository im Sicherheitsbereich anzuzeigen, benötigen Sie auch Zugriff auf die Warnungen für das Repository, für den code scanning aktiviert ist. Private Repositorys erfordern GitHub Code Security. Siehe [Konfigurieren des Standardsetups für das Code-Scanning](/de/code-security/how-tos/find-and-fix-code-vulnerabilities/configure-code-scanning/configure-code-scanning).

Die Erweiterung unterstützt Repositorys für GitHub.com und GitHub Enterprise Cloud mit Data Residency.
GitHub Enterprise Server wird nicht unterstützt.

Sie benötigen weder ein aktiviertes code scanning noch eine GitHub Code Security-Lizenz, um eine lokale Sicherheitsüberprüfung auszuführen.

## Installieren der GitHub Sicherheitserweiterung

Um das Plug-In über das Terminal zu installieren, Copilot CLIgeben Sie Folgendes ein:

```shell copy
copilot plugin install github-security@awesome-copilot
```

Alternativ können Sie das Plug-In in GitHub Copilot app installieren:

1. Klicken Sie in der App-Randleiste auf **"Anpassen"**.
2. Suchen Sie in der Suchleiste nach `github-security`.
3. Klicken Sie unter **Plugins** neben "github-security" auf **+Installieren**.

Nach der Installation werden das Plug-In und seine Erweiterung automatisch aktiviert.

## Anzeigen von Code-Scanning-Warnungen im Security canvas

Verwenden Sie die Erweiterung, um geöffnete code scanning Warnungen in Ihrem Repository anzuzeigen, sortiert nach Schweregrad.
Code scanning muss für das Repository aktiviert sein, und Sie müssen Zugriff auf die zugehörigen Warnungen haben.

1. Starten Sie eine neue Sitzung für das Repository, an dem Sie arbeiten möchten.
2. Wenn der Sicherheits-Canvas noch nicht geöffnet ist, klicken Sie auf <svg version="1.1" width="16" height="16" viewBox="0 0 16 16" class="octicon octicon-plus" aria-label="Open in panel" role="img"><path d="M7.75 2a.75.75 0 0 1 .75.75V7h4.25a.75.75 0 0 1 0 1.5H8.5v4.25a.75.75 0 0 1-1.5 0V8.5H2.75a.75.75 0 0 1 0-1.5H7V2.75A.75.75 0 0 1 7.75 2Z"></path></svg>, zeigen Sie auf **Canvas**, und klicken Sie dann auf **Sicherheit**.
3. Klicken Sie auf der Startseite der Erweiterung "Security canvas" auf **Code scanning Ergebnisse**.
4. Um die Liste einzugrenzen, klicken Sie <svg version="1.1" width="16" height="16" viewBox="0 0 16 16" class="octicon octicon-filter" aria-label="Show filters" role="img"><path d="M.75 3h14.5a.75.75 0 0 1 0 1.5H.75a.75.75 0 0 1 0-1.5ZM3 7.75A.75.75 0 0 1 3.75 7h8.5a.75.75 0 0 1 0 1.5h-8.5A.75.75 0 0 1 3 7.75Zm3 4a.75.75 0 0 1 .75-.75h2.5a.75.75 0 0 1 0 1.5h-2.5a.75.75 0 0 1-.75-.75Z"></path></svg> in der oberen rechten Ecke des Zeichenbereichs, um die Such- und Filtersteuerelemente anzuzeigen.
5. Klicken Sie auf den Titel einer Warnung, um die Beschreibung, den Schweregrad und den betroffenen Code im Zeichenbereich anzuzeigen.

Überprüfen Sie die verknüpften Pull Requests der Warnung, um festzustellen, ob jemand bereits an einem Fix arbeitet. Um die vollständige Warnungsseite auf GitHub zu öffnen, zeigen Sie mit der Maus auf die Zeile der Warnung, klicken Sie auf <svg version="1.1" width="16" height="16" viewBox="0 0 16 16" class="octicon octicon-kebab-horizontal" aria-label="More actions" role="img"><path d="M8 9a1.5 1.5 0 1 0 0-3 1.5 1.5 0 0 0 0 3ZM1.5 9a1.5 1.5 0 1 0 0-3 1.5 1.5 0 0 0 0 3Zm13 0a1.5 1.5 0 1 0 0-3 1.5 1.5 0 0 0 0 3Z"></path></svg>, und klicken Sie dann auf **Im Browser öffnen**.

Die Erweiterung zeigt code scanning Warnungen an, nicht Dependabot oder secret scanning Warnungen.

## Warnungen verstehen und beheben

Die Schaltflächen "**Erläutern**" und "**Korrigieren**" bitten den Copilot Agent in Ihrer Sitzung, auf die ausgewählten code scanning Warnungen zu reagieren:

* **Erklärung** fordert den Agenten auf, die Warnungen zu erläutern, damit Sie die Sicherheitsrisiken verstehen können, bevor Sie entscheiden, wie sie behoben werden sollen.
* **Fix** fordert den Agent auf, Ihren Code so zu ändern, dass er die Warnungen adressiert.

1. Wenn Sie an einer einzelnen Warnung arbeiten möchten, klicken Sie darauf, um die Details zu öffnen oder in der Ergebnisliste darauf zu zeigen, um die Schaltflächen " **Erläutern** " und **"Korrigieren** " anzuzeigen. Wenn Sie an mehreren Warnungen arbeiten möchten, aktivieren Sie die Kontrollkästchen neben ihnen.
2. Klicken Sie auf die Schaltfläche **Erläutern** oder **Korrigieren**.
3. Überprüfen Sie die Antwort des Agents in der Sitzung. Wenn Sie einen Fix angefordert haben, überprüfen Sie den Diff, und führen Sie die relevanten Tests für Ihr Projekt aus.
4. Fahren Sie mit der Konversation fort, um die Lösung bei Bedarf anzupassen.

Wenn Sie auf **"Korrigieren"** klicken, ändert Copilot nur Ihre lokale Arbeitskopie. Änderungen werden weder übernommen noch gepusht, und es wird keine Pull-Anfrage geöffnet. Wenn Sie mit den Änderungen zufrieden sind, erstellen Sie einen Commit und pushen Sie sie über Ihren normalen Review-Prozess.

Ein lokaler Fix schließt eine code scanning Warnung nicht. Nachdem der Fix den betroffenen Branch erreicht hat und code scanning erneut ausgeführt wird, entscheidet code scanning, ob die Warnung behoben ist. Siehe [Lösen von Code-Scan-Warnungen](/de/code-security/how-tos/manage-security-alerts/manage-code-scanning-alerts/resolve-alerts).

Sie können auch Copilot direkt im Chat nach Ihren Benachrichtigungen fragen. Beispiele:

```copilot copy
Explain the highest-severity open code scanning alert in this
repository and suggest how I could fix it. Do not change any files.
```

Die Tools der Sicherheitserweiterung folgen den Werkzeugberechtigungseinstellungen der App. Wenn eine Genehmigung erforderlich ist, fragt Copilot vor der Verwendung auf die gleiche Weise wie andere Tools.

## Verwerfen von Warnungen

Schließen Sie eine Warnung, wenn Sie festgestellt haben, dass Sie sie nicht beheben müssen, z. B. weil es sich um ein falsch positives Ergebnis handelt. Sie benötigen die Berechtigung, code scanning Warnungen im Repository zu verwerfen.

Im Gegensatz zum lokalen Beheben von Code wird die Warnung beim Schließen auf GitHub aktualisiert.

1. Klicken Sie <svg version="1.1" width="16" height="16" viewBox="0 0 16 16" class="octicon octicon-kebab-horizontal" aria-label="More actions" role="img"><path d="M8 9a1.5 1.5 0 1 0 0-3 1.5 1.5 0 0 0 0 3ZM1.5 9a1.5 1.5 0 1 0 0-3 1.5 1.5 0 0 0 0 3Zm13 0a1.5 1.5 0 1 0 0-3 1.5 1.5 0 0 0 0 3Z"></path></svg> oben auf der Detailseite der Warnung, oder bewegen Sie in der Ergebnisliste den Mauszeiger über die Zeile der Warnung und klicken Sie auf dasselbe Symbol.
2. Klicken Sie auf **"Schließen"**.
3. Wählen Sie einen Grund aus, und fügen Sie einen Kommentar hinzu, der Ihre Entscheidung erläutert.
4. Klicken Sie auf **Fund verwerfen** oder, falls eine Genehmigung erforderlich ist, **senden Sie die Anforderung**.

Wenn das Schließen einer Warnung für Ihre Rolle im Repository eine Genehmigung erfordert, sendet die Erweiterung eine Anfrage zum Schließen, anstatt die Warnung zu schließen. Die Warnung bleibt geöffnet, bis ein autorisierter Prüfer die Anforderung genehmigt. Ablehnungsanträge werden überprüft GitHub, nicht in der Erweiterung.

## Überprüfung lokaler Änderungen auf neue Sicherheitslücken

Im Security-Canvas für eine Sitzung können Sie den Copilot Agent bitten, die aktuellen Änderungen der Sitzung auf Sicherheitsrisiken zu überprüfen, bevor Sie einen Pull Request öffnen. Sie können die Überprüfung auch mit dem `/security-review` Schrägstrichbefehl starten. Dies ist eine fokussierte Überprüfung Ihrer Änderungen, keine vollständige Repository-Sicherheitsprüfung oder ein Ersatz für code scanning.

1. Öffnen Sie eine aktive Sitzung mit Änderungen in Bearbeitung.
2. Wenn der Security-Canvas noch nicht geöffnet ist, klicken Sie auf <svg version="1.1" width="16" height="16" viewBox="0 0 16 16" class="octicon octicon-plus" aria-label="Open in panel" role="img"><path d="M7.75 2a.75.75 0 0 1 .75.75V7h4.25a.75.75 0 0 1 0 1.5H8.5v4.25a.75.75 0 0 1-1.5 0V8.5H2.75a.75.75 0 0 1 0-1.5H7V2.75A.75.75 0 0 1 7.75 2Z"></path></svg>, zeigen Sie auf **Canvas**, und klicken Sie dann auf **Security**.
3. Klicken Sie auf der Startseite der Erweiterung „Security canvas“ unter „Sicherheitsüberprüfung“ auf **„Überprüfung starten“**. Alternativ geben Sie im Eingabeaufforderungsfeld der Sitzung `/security-review` ein und drücken <kbd>Enter</kbd>.
4. Überprüfen Sie die lokalen Ergebnisse im Canvas. Wählen Sie Erkenntnisse aus, und klicken Sie dann auf die Schaltfläche „**Erläutern**“ oder „**Korrigieren**“, um den Agenten zu bitten, die Erkenntnisse zu erläutern oder Ihren Code zu ändern, um sie zu beheben.
5. Führen Sie nach dem Ändern des Codes die Überprüfung erneut aus. Das Canvas gibt an, wann sich Ihr Code seit der letzten Überprüfung geändert hat.

Um zu Ergebnissen aus einer vorherigen lokalen Überprüfung zurückzukehren, klicken Sie auf der Startseite der Sicherheits-Canvas der Erweiterung auf **Ergebnisse der letzten Überprüfung**.

Lokale Überprüfungsergebnisse sind getrennt von code scanning Warnungen zu GitHub. Eine lokale Überprüfung aktiviert code scanning nicht.

## KI-Nutzung

Wenn Sie auf die Schaltfläche „**Erklären**“ oder „**Korrigieren**“ klicken oder eine Sicherheitsüberprüfung starten, verwendet der Copilot Agent das in der App ausgewählte Modell und verbraucht AI credits wie andere Eingabeaufforderungen. Das Anzeigen und Schließen von Warnungen im Zeichenbereich verwenden keine KI.