이 문서는 대규모 GitHub Advanced Security를 채택하는 시리즈의 일부입니다. 이 시리즈의 이전 문서는 "2단계: 대규모로 사용하도록 준비"을 참조하세요.
파일럿 프로그램 정보
GHAS의 파일럿 롤아웃에 사용할 몇 가지 영향력이 높은 프로젝트 또는 팀을 식별하는 것이 좋습니다. 이렇게 하면 회사 내의 초기 그룹이 GHAS에 익숙해지고, 회사의 나머지 부분에 배포하기 전에 GHAS에 대한 견고한 기반을 구축할 수 있습니다.
이러한 단계는 엔터프라이즈에서 GHAS를 사용하도록 설정하고, 해당 기능 사용을 시작하고, 결과를 검토하는 데 도움이 됩니다. GitHub Expert Services를 사용하는 경우 선택적으로 온보딩 세션, GHAS 워크샵 및 문제 해결을 통해 이 프로세스 전반에서 추가 지원을 제공할 수 있습니다.
파일럿 프로젝트를 시작하기 전에 파일럿이 완료되면 초기 회의, 중간 검토 및 마무리 세션과 같은 팀 회의를 예약하는 것이 좋습니다. 이러한 회의를 통해 선택적으로 조정하고 팀이 파일럿을 성공적으로 완료할 수 있도록 준비하고 지원하도록 할 수 있습니다.
GitHub Enterprise Server 인스턴스에 대해 GHAS를 사용하도록 아직 설정하지 않은 경우 "엔터프라이즈에 GitHub Advanced Security 사용"을 참조하세요.
각 리포지토리 또는 파일럿에 참여하는 모든 조직의 모든 리포지토리에 대해 GHAS 기능을 사용하도록 설정하여 각 파일럿 프로젝트에 GHAS를 사용하도록 설정해야 합니다. 자세한 정보는 "리포지토리에 대한 보안 및 분석 설정 관리" 또는 "조직의 보안 및 분석 설정 관리"을 참조하세요.
code scanning 파일럿
GitHub Enterprise Server 인스턴스에서 code scanning를 사용하도록 설정하려면 "어플라이언스에 대한 코드 검사 구성"을 참조하세요.
CodeQL 작업을 실행하는 GitHub Actions 워크플로를 만들어 리포지토리에서 code scanning을(를) 실행할 수 있습니다. GitHub Actions에 대한 자세한 내용은 다음을 참조하세요.
파일럿 프로그램의 일부로 리포지토리별로 code scanning를 사용하도록 설정하는 것이 좋습니다. 자세한 내용은 "코드 스캔을 위한 구성"을(를) 참조하세요.
많은 리포지토리에서 code scanning을(를) 사용하도록 설정하려는 경우 프로세스를 스크립팅할 수 있습니다.
여러 리포지토리에 GitHub Actions 워크플로를 추가하기 위한 끌어오기 요청을 시작하는 스크립트의 예는 PowerShell 사용 사례를 위한 jhutchings1/Create-ActionsPRs 리포지토리를 참조하고, PowerShell이 없어 대신 NodeJS를 사용하려는 팀의 경우 nickliffen/ghas-enablement를 참조하세요.
초기 코드 검사를 실행할 때 찾은 결과가 없거나 비정상적인 수의 결과가 반환되는 경우가 있을 수 있습니다. 향후 검사에서 플래그가 지정된 항목을 조정하고 싶을 수 있습니다. 자세한 정보는 "코드 검사를 위한 사용자 지정"을(를) 참조하세요.
회사에서 GitHub code scanning와(과) 함께 다른 제3자 코드 분석 도구를 사용하려는 경우 GitHub에서 해당 도구를 실행하는 작업을 사용할 수 있습니다. 또는 타사 도구에서 생성된 결과를 SARIF 파일로 code scanning에 업로드할 수 있습니다. 자세한 내용은 "코드 검사와 통합"을(를) 참조하세요.
secret scanning
파일럿
GitHub에서는 실수로 커밋된 비밀이 사기에 사용되는 것을 방지하기 위해 리포지토리에 알려진 유형의 비밀이 있는지 검사합니다.
GitHub Enterprise Server 인스턴스에 대한 비밀 스캔을 사용하도록 설정하려면 "어플라이언스에 대한 비밀 검사 구성"을 참조하세요.
각 리포지토리 또는 프로젝트에 참여하는 모든 조직의 모든 리포지토리에 대해 비밀 검사 기능을 사용하도록 설정하여 각 파일럿 프로젝트에 이 기능을 사용하도록 설정해야 합니다. 자세한 정보는 "리포지토리에 대한 보안 및 분석 설정 관리" 또는 "조직의 보안 및 분석 설정 관리"을 참조하세요.
다음으로, 각 파일럿 프로젝트에 대해 푸시 보호를 사용하도록 설정합니다.
개발자가 차단된 비밀을 푸시하려고 할 때 표시되는 메시지에서 리소스에 대한 링크를 구성하려는 경우 이때에 사용 가능하게 하려는 참고 자료를 테스트하고 상세 검색하기 적합합니다.
엔터프라이즈 관련 사용자 지정 패턴, 특히 secret scanning를 파일럿하는 프로젝트와 관련된 모든 사용자 지정 패턴을 수집한 경우 구성할 수 있습니다. 자세한 내용은 "비밀 검사를 위한 사용자 지정 패턴 정의"을(를) 참조하세요.
리포지토리에 체크 인된 비밀에 대한 경고를 보고 닫는 방법을 알아보려면 "비밀 검사에서 경고 관리"을 참조하세요.
이 시리즈의 다음 문서는 "AUTOTITLE"을 참조하세요.