Interpretando descobertas de segurança em um repositório

Sobre as descobertas de segurança em um repositório

Depois de aplicar um security configuration a um repositório, os recursos de segurança habilitados provavelmente aumentarão as descobertas de segurança nesse repositório. Essas descobertas podem aparecer como alertas específicos de recursos ou como pull requests gerados automaticamente projetados para manter seu repositório seguro. Para proteger melhor sua organização, você deve ser capaz de entender e resolver esses alertas e pull requests e, em seguida, analisar as descobertas e fazer os ajustes necessários em seus security configuration.

Localizando repositórios com alertas de segurança usando a visão geral de segurança

As informações mostradas pela visão geral de segurança variam de acordo com o acesso aos repositórios e organizações, e de acordo com o uso ou não GitHub Advanced Security é usado por esses repositórios e organizações. Para obter mais informações, confira "Sobre a visão geral de segurança".

1. No GitHub.com, navegue até a página principal da organização.

2. No nome da organização, clique em Segurança do .

   

3. Para mostrar a exibição "Risco de segurança", clique em Risco na barra lateral.

4. Use as opções no resumo da página para filtrar os resultados para mostrar os repositórios que você deseja avaliar. A lista de repositórios e métricas exibidas na página é atualizada automaticamente para corresponder à seleção atual. Para obter mais informações sobre filtragem, confira "Visão geral da filtragem de alertas na segurança."

   • Use a lista suspensa Teams para mostrar informações somente para os repositórios pertencentes a uma ou mais equipes.
   • Clique em NÚMERO afetado ou NÚMERO não afetado no cabeçalho de qualquer recurso para mostrar apenas os repositórios com ou sem alertas abertos desse tipo.
   • Clique em qualquer uma das descrições de "Abrir alertas" no cabeçalho para mostrar apenas repositórios com alertas desse tipo e categoria. Por exemplo, 1 crítico para mostrar o repositório com um alerta crítico para Dependabot.
   • Na parte superior da lista de repositórios, clique em NÚMERO Arquivado para mostrar apenas repositórios arquivados.
   • Clique na caixa de pesquisa para adicionar mais filtros aos repositórios exibidos.

5. Opcionalmente, use a barra lateral à esquerda para explorar alertas para um recurso de segurança específico com mais detalhes. Em cada página, é possível usar filtros específicos para o recurso e ajustar sua pesquisa. Para saber mais sobre os qualificadores disponíveis, confira "Visão geral da filtragem de alertas na segurança".

Interpretando alertas de secret scanning

Secret scanning é uma ferramenta de segurança que verifica todo o histórico do Git do seu repositório, bem como problemas, pull requests e discussões nesse repositório, em busca de segredos vazados que tenham sido acidentalmente confirmados, como tokens ou chaves privadas. Há dois tipos de alertas de secret scanning:

• Alertas de verificação de segredo para parceiros, que são enviadas ao provedor que emitiu o segredo
• Alertas de verificação de segredo para usuários, que aparecem em GitHub Enterprise Cloud e podem ser resolvidos

Você pode visualizar alertas de secret scanning para um repositório navegando até a página principal desse repositório, clicando na guia Segurança e, em seguida, clicando em Secret scanning.

Para obter uma introdução a alertas de secret scanning, confira "Sobre a verificação de segredo."

Para saber como interpretar e resolver alertas secret scanning, consulte "Gerenciar alertas da verificação de segredo".

Interpretando alertas de code scanning

A Code scanning é um recurso que você usa para analisar o código em um repositório GitHub para encontrar vulnerabilidades de segurança e erros de codificação. Os problemas que forem identificados pela análise serão mostrados em seu repositório. Esses problemas são gerados como alertas code scanning, que contêm informações detalhadas sobre a vulnerabilidade ou erro detectado.

Você pode visualizar os alertas de code scanning para um repositório navegando até a página principal desse repositório, clicando na guia Segurança e, em seguida, clicando em Secret scanning.

Para obter uma introdução a alertas code scanning, confira "Sobre alertas de digitalização de códigos."

Aprenda como interpretar e resolver alertas da code scanning, consulte "Gerenciamento de alertas de varredura de código para seu repositório."

Interpretando Dependabot alerts

Dependabot alerts informam você sobre vulnerabilidades nas dependências usadas em um repositório. Você pode visualizar Dependabot alerts para um repositório navegando até a página principal desse repositório, clicando na guia Segurança e, em seguida, clicando em Dependabot.

Para obter uma introdução a Dependabot alerts, confira "Sobre alertas do Dependabot."

Aprenda como interpretar e resolver Dependabot alerts, consulte "Visualizando e atualizando alertas do Dependabot."

Próximas etapas

Se você estiver usando o GitHub-recommended security configuration e suas descobertas indicarem que as configurações de habilitação de segurança não estão atendendo às suas necessidades, crie um custom security configuration. Para começar, confira "Criando uma configuração de segurança personalizada".

Se você estiver usando um custom security configuration e suas descobertas indicarem que as configurações de habilitação de segurança não estão atendendo às suas necessidades, você pode editar sua configuração atual. Para obter mais informações, confira "Edição de uma configuração de segurança personalizada".

Por fim, você também pode editar suas configurações de segurança no nível da organização com global settings. Para saber mais, confira "Configurações de segurança globais para sua organização".