Este artigo faz parte de uma série sobre a adoção do GitHub Advanced Security em escala. Para ver o artigo anterior desta série, confira "Fase 2: Preparo para a habilitação em escala".
Sobre programas piloto
Recomendamos que você identifique algumas equipes e alguns projetos de alto impacto para usar em uma distribuição piloto do GHAS. Com isso, um grupo inicial se familiariza com o GHAS e cria uma base sólida nele antes da distribuição para o restante da empresa.
Essas etapas ajudam você a habilitar o GHAS em sua empresa, começar a usar as funcionalidades dele e revisar seus resultados. Se você estiver trabalhando com GitHub Professional Services, ele poderá fornecer assistência adicional por meio desse processo com sessões de integração, oficinas do GHAS e solução de problemas, conforme necessário.
Antes de iniciar os projetos piloto, recomendamos que você agende algumas reuniões para as equipes, como uma reunião inicial, uma revisão durante o processo e uma sessão de encerramento após a conclusão do piloto. Essas reuniões ajudarão você a fazer todos os ajustes, conforme necessário, e assegurarão que as equipes estejam preparadas e tenham o apoio necessário para concluir o piloto com sucesso.
Você precisa habilitar o GHAS em cada projeto piloto, habilitando o recurso para cada repositório ou para todos os repositórios em qualquer organização que participe do projeto. Para obter mais informações, confira "Gerenciando as configurações de segurança e análise do repositório" ou "Gerenciando as configurações de segurança e de análise da sua organização".
Distribuição piloto do code scanning
Para habilitar o code scanning por meio do GitHub Actions, você deve disponibilizar executores para a execução de fluxos de trabalho no GitHub AE. Confira "Introdução ao GitHub Actions para GitHub AE".
Para executar o exame de códigos em um repositório, crie um fluxo de trabalho do GitHub Actions a fim de executar a ação do CodeQL.
Para mais informações sobre GitHub Actions, consulte:
- "Aprenda o GitHub Actions"
- "Entendendo o GitHub Actions"
- "Eventos que disparam fluxos de trabalho"
- "Sintaxe de fluxo de trabalho para o GitHub Actions"
Recomendamos habilitar o code scanning por repositório como parte do programa piloto. Para obter mais informações, confira "Como definir a verificação de código".
Para habilitar o exame de códigos para muitos repositórios, faça um script do processo.
Para ver um exemplo de um script que abre solicitações de pull para adicionar um fluxo de trabalho do GitHub Actions a vários repositórios, confira o repositório jhutchings1/Create-ActionsPRs para ver um exemplo que usa o PowerShell ou nickliffen/ghas-enablement para as equipes que não têm o PowerShell e desejam usar o NodeJS.
Ao executar a digitalização inicial de código, você pode descobrir que nenhum resultado foi encontrado ou que um número incomum de resultados foi retornado. Você pode querer ajustar o que é sinalizado em futuras digitalizações. Para obter mais informações, confira "Como personalizar verificação de código".
Se sua empresa quiser usar outras ferramentas de análise de código de terceiros com a digitalização de código do GitHub, você poderá usar ações para executar essas ferramentas dentro do GitHub. Como alternativa, é possível carregar os resultados, que são gerados por ferramentas de terceiros como arquivos SARIF, para o exame de códigos. Para obter mais informações, confira "Integrar com varredura de código".
Distribuição piloto do secret scanning
O GitHub digitaliza repositórios de tipos conhecidos de segredos, para evitar o uso fraudulento de segredos que foram cometidos acidentalmente.
Você precisa habilitar digitalização de segredos para cada projeto piloto, habilitando o recurso para cada repositório ou para todos os repositórios de qualquer organização que participe do projeto. Para obter mais informações, confira "Gerenciando as configurações de segurança e análise do repositório" ou "Gerenciando as configurações de segurança e de análise da sua organização".
Se você tiver coletado padrões personalizados específicos para sua empresa, especialmente os relacionados aos projetos envolvidos na distribuição piloto do secret scanning, será possível configurá-los. Para obter mais informações, confira "Definir padrões personalizados para a verificação de segredo".
Para saber como exibir e fechar alertas de segredos com check-in no seu repositório, confira "Gerenciar alertas da verificação de segredo".
Para ver o próximo artigo desta série, confira "Fase 4: Criar a documentação interna".