이 문서는 대규모 GitHub Advanced Security를 채택하는 시리즈의 일부입니다. 이 시리즈의 이전 문서는 "2단계: 대규모로 사용하도록 준비"을 참조하세요.
파일럿 프로그램 정보
GHAS의 파일럿 롤아웃에 사용할 몇 가지 영향력이 높은 프로젝트 또는 팀을 식별하는 것이 좋습니다. 이렇게 하면 회사 내의 초기 그룹이 GHAS에 익숙해지고, 회사의 나머지 부분에 배포하기 전에 GHAS에 대한 견고한 기반을 구축할 수 있습니다.
이러한 단계는 엔터프라이즈에서 GHAS를 사용하도록 설정하고, 해당 기능 사용을 시작하고, 결과를 검토하는 데 도움이 됩니다. GitHub Expert Services를 사용하는 경우 선택적으로 온보딩 세션, GHAS 워크샵 및 문제 해결을 통해 이 프로세스 전반에서 추가 지원을 제공할 수 있습니다.
파일럿 프로젝트를 시작하기 전에 파일럿이 완료되면 초기 회의, 중간 검토 및 마무리 세션과 같은 팀 회의를 예약하는 것이 좋습니다. 이러한 회의를 통해 선택적으로 조정하고 팀이 파일럿을 성공적으로 완료할 수 있도록 준비하고 지원하도록 할 수 있습니다.
각 리포지토리 또는 파일럿에 참여하는 모든 조직의 모든 리포지토리에 대해 GHAS 기능을 사용하도록 설정하여 각 파일럿 프로젝트에 GHAS를 사용하도록 설정해야 합니다. 자세한 정보는 "리포지토리에 대한 보안 및 분석 설정 관리" 또는 "조직의 보안 및 분석 설정 관리"을 참조하세요.
모든 GitHub Advanced Security 기능 시범 운영(베타)
조직의 리포지토리에 적용할 수 있는 보안 사용 설정 컬렉션인 GitHub-recommended security configuration을(를) 사용하여 대규모 보안 기능을 신속하게 사용하도록 설정할 수 있습니다. 그런 다음 global settings을(를) 사용하여 조직 수준에서 GitHub Advanced Security 기능을 추가로 사용자 지정할 수 있습니다. "보안 기능의 대규모 사용 정보"을(를) 참조하세요.
참고: Security configurations 및 global settings는 베타 버전이며 변경될 수 있습니다.
code scanning 파일럿
보안 개요를 사용하여 조직의 여러 리포지토리에서 code scanning에 대한 기본 설정을 빠르게 구성할 수 있습니다. 자세한 내용은 "대규모 코드 스캔을 위한 기본 설정 구성"을(를) 참조하세요.
조직의 모든 리포지토리에서 code scanning을(를) 사용하도록 선택할 수도 있지만 파일럿 프로그램에 대한 영향력이 높은 리포지토리의 하위 집합에서 code scanning을(를) 구성하는 것이 좋습니다.
일부 언어 또는 빌드 시스템의 경우 코드베이스의 전체 범위를 얻으려면 code scanning에 대한 고급 설정을 대신 구성해야 할 수 있습니다. 고급 설정은 구성, 사용자 지정, 유지 관리에 훨씬 더 많은 노력이 필요하므로 먼저 기본 설정을 사용하도록 설정하는 것이 좋습니다.
회사에서 GitHub code scanning와(과) 함께 다른 제3자 코드 분석 도구를 사용하려는 경우 GitHub에서 해당 도구를 실행하는 작업을 사용할 수 있습니다. 또는 타사 도구에서 생성된 결과를 SARIF 파일로 code scanning에 업로드할 수 있습니다. 자세한 내용은 "코드 검사와 통합"을(를) 참조하세요.
secret scanning
파일럿
GitHub에서는 실수로 커밋된 비밀이 사기에 사용되는 것을 방지하기 위해 리포지토리에 알려진 유형의 비밀이 있는지 검사합니다.
각 리포지토리 또는 프로젝트에 참여하는 모든 조직의 모든 리포지토리에 대해 비밀 검사 기능을 사용하도록 설정하여 각 파일럿 프로젝트에 이 기능을 사용하도록 설정해야 합니다. 자세한 정보는 "리포지토리에 대한 보안 및 분석 설정 관리" 또는 "조직의 보안 및 분석 설정 관리"을 참조하세요.
다음으로, 각 파일럿 프로젝트에 대해 푸시 보호를 사용하도록 설정합니다.
개발자가 차단된 비밀을 푸시하려고 할 때 표시되는 메시지에서 리소스에 대한 링크를 구성하려는 경우 이때에 사용 가능하게 하려는 참고 자료를 테스트하고 상세 검색하기 적합합니다.
보안 개요에서 푸시 보호 메트릭 페이지를 사용하여 활동을 검토하기 시작합니다. 자세한 내용은 "조직에서 비밀 검사 푸시 보호에 대한 메트릭 보기"을(를) 참조하세요.
엔터프라이즈 관련 사용자 지정 패턴, 특히 secret scanning를 파일럿하는 프로젝트와 관련된 모든 사용자 지정 패턴을 수집한 경우 구성할 수 있습니다. 자세한 내용은 "비밀 검사를 위한 사용자 지정 패턴 정의"을(를) 참조하세요.
리포지토리에 체크 인된 비밀에 대한 경고를 보고 닫는 방법을 알아보려면 "비밀 검사에서 경고 관리"을 참조하세요.
이 시리즈의 다음 문서는 "AUTOTITLE"을 참조하세요.