Hvad er GitHub Advanced Security?

GitHub har mange funktioner, der hjælper dig med at forbedre og vedligeholde kvaliteten af din kode. Nogle af disse funktioner er inkluderet i alle planer, såsom afhængighedsgrafen og Dependabot-advarsler. Andre tilbyder begrænset funktionalitet på offentlige repositorier, mens avancerede funktioner til private repositories kræver GitHub Code Security og GitHub Secret Protection.

I denne enhed lærer du mere om GitHub Advanced Security og opdager, hvordan et projekt med avancerede sikkerhedsfunktioner ser ud.

GitHub Advanced Security oversigt

GitHub Advanced Security-funktioner leveres nu gennem to hovedprodukter:

• GitHub Code Security (sårbarhedsopdagelse og udbedring)
• GitHub Secret Protection (hemmelighedsopdagelse og -forebyggelse)

Sammen tilbyder disse produkter en bredere sikkerhedsplatform, der rækker ud over det oprindelige GitHub Advanced Security-funktionssæt.

Funktionstilgængelighed

Følgende tabel opsummerer tilgængeligheden af GitHub-sikkerhedsfunktioner på tværs af repository-typer og produkter.

Som vist i den foregående tabel er mange kernesikkerhedsfunktioner – herunder kodescanning, grundlæggende hemmelighedsscanning, afhængighedsgennemgang og Dependabot-advarsler – tilgængelige som standard for offentlige arkiver på GitHub.com. Avancerede funktioner til private og interne repositories kræver GitHub Enterprise Cloud eller GitHub Team med GitHub Code Security og/eller GitHub Secret Protection aktiveret.

GitHub Code Security og GitHub Secret Protection tilbyder følgende forbedrede funktioner for private og interne repositories:

• Kodescanning (CodeQL): Opdager automatisk sårbarheder og kodningsfejl og understøtter AI-assisterede rettelser via Copilot Autofix (hvor aktiveret).
• Hemmelig scanning: Opdager eksponerede hemmeligheder i kode, blokerer lækager med push-beskyttelse, understøtter brugerdefinerede hemmelighedsmønstre og tilbyder forbedrede arbejdsgange for alarmering og afhjælpning.
• Vurdering af afhængighed: Viser virkningen af afhængighedsændringer og fremhæver sårbare versioner, før pull requests bliver slået sammen.
• Sikkerhedsoversigt: Giver organisationens oversigt i sikkerhedsposition, risici og varsler på repository-niveau.
• Sikkerhedskampagner: Gør det muligt for organisationer at gruppere, prioritere og systematisk udbedre flere sikkerhedsadvarsler på tværs af repositories, hvilket hjælper teams med at reducere sårbarheder hurtigere og i stor skala.

Hovednoter

GitHub har udviklet sig fra en enkelt GitHub Advanced Security-pakke til en modulær platform bestående af:

• GitHub-kodesikkerhed
• GitHub Hemmelig Beskyttelse

Andre vigtige punkter inkluderer:

• Offentlige arkiver modtager fortsat et stærkt udgangspunkt for gratis sikkerhedsfunktioner.
• Avancerede funktioner fokuserer på forebyggelse (såsom push-beskyttelse), automatisering og AI-assisteret afhjælpning.

GitHub Advanced Security i softwareudviklingslivscyklussen

Hvilken forskel gør GitHub Advanced Security-funktioner i softwareudviklingslivscyklussen? Lad os først se på et grundlæggende sikkerhedsscenarie.

Dette eksempel illustrerer en traditionel tilgang til sikkerhed som en port , hvor en eller flere sikkerhedstests finder sted under kvalitetssikringsfasen. I dette scenarie bliver sikkerhed ofte en flaskehals, der forsinker softwareleveringen. Mange organisationer tackler denne udfordring ved at flytte sikkerhedspolitikken til venstre.

Lad os nu se på den samme livscyklus for softwareudvikling med GitHub Advanced Security.

I dette scenarie integreres sikkerheden fra starten gennem sikkerhedspolitikker, der konfigureres under projektopsætningen. Udviklere modtager sikkerhedsfeedback gennem hele udviklingsprocessen.

• Kodescanning: Scanner hver commit og merge for sårbarheder og kodefejl.
• Hemmelig scanning: Scanner hver commit og merge for hemmeligheder, der ved et uheld er begået, såsom tokens og private nøgler.
• Vurdering af afhængighed: Overvåger afhængighedsændringer og vurderer deres indvirkning på projektets sikkerhed ved at sammenligne manifestfiler med databaser over kendte sårbarheder under hver pull request.

Derudover giver Security Overview administratorer et overblik over organisationens sikkerhedsstatus. Dette synspunkt hjælper med at identificere arkiver, der kræver opmærksomhed eller udbedring.

Da sikkerhedstjek finder sted gennem hele udviklingslivscyklussen, identificeres og håndteres potentielle problemer tidligere. Denne tilgang reducerer flaskehalse under kvalitetssikring og minimerer teknisk gæld, før softwaren frigives.