Vue d’ensemble de la sécurité

La vue d’ensemble de la sécurité affiche un volet unique contenant un résumé des risques liés à la sécurité de votre organisation et de l’état d’activation d'Advanced Security. Toutes les organisations, qu’elles disposent ou non d’un référentiel avancé compatible avec la sécurité, peuvent voir l’onglet Vue d’ensemble de la sécurité dans leurs paramètres d’organisation.

GitHub Advanced Security pour Azure DevOps fonctionne avec Azure Repos. Pour utiliser GitHub Advanced Security avec des référentiels GitHub, consultez GitHub Advanced Security.

À propos de la vue d’ensemble de la sécurité

Tous les membres de l’organisation qui ont accès à l’affichage des paramètres de l’organisation peuvent afficher la vue d’ensemble de la sécurité. La vue d’ensemble de la sécurité comprend trois onglets :

  • Risque : montre la distribution des alertes totales et des alertes par gravité sur tous les projets et référentiels avec Advanced Security activé.
  • Couverture : affiche l’état d’activation des fonctionnalités Advanced Security dans tous les référentiels de votre organisation.
  • Alertes : affiche des alertes individuelles dans tous les référentiels de votre organisation, avec des fonctionnalités de filtrage et de recherche.

Onglet des risques

Pour accéder à la vue d’ensemble de la sécurité de votre organisation, accédez à La vue d’ensemble de la sécurité des paramètres > de l’organisation. L’affichage par défaut est l’onglet Risque , qui affiche un résumé des alertes de sécurité au sein de votre organisation.

Dans la vue Risque, seuls les référentiels avec Advanced Security activé s’affichent. Les nombres d’alertes signalés concernent uniquement les alertes détectées sur la branche par défaut pour chaque référentiel. Les dépôts désactivés et supprimés sont automatiquement exclus des résultats.

Vous pouvez trier selon chacun des en-têtes de colonne du tableau (Open, New, Dismissed, Fixed) et modifier votre recherche à l’aide de la barre de recherche par mots-clés ou des filtres déroulants pour le projet, le référentiel, l’ensemble d’outils, la gravité et la période. Le filtre à limite de temps est défini par défaut pour afficher les résultats des sept derniers jours. L’URL est mise à jour avec tous les filtres appliqués pour faciliter le partage de votre requête.

L’onglet Risque inclut également des métriques de cumul au niveau de l’organisation qui résument l’exposition des alertes sur tous les projets et référentiels filtrés. Vous pouvez donc évaluer le risque global sans passer en revue chaque dépôt individuellement.

Vous pouvez exporter les résultats de l’onglet Risque vers un fichier CSV pour l’analyse ou la création de rapports hors connexion.

Note

Les métriques de cumul au niveau de l’organisation sous l’onglet Risque sont actuellement en préversion privée. La disponibilité peut donc varier selon l’organisation.

Capture d’écran de l'onglet Risque de la vue d’ensemble de la sécurité pour une organisation.

Onglet Couverture

Sous l’onglet Couverture , la vue d’ensemble de la sécurité affiche tous les référentiels de votre entreprise, quel que soit leur état d’activation. Les résultats excluent automatiquement les dépôts désactivés et supprimés. Pour tous les référentiels avec Advanced Security activés, la vue d’ensemble inclut une répartition de chaque outil :

Capture d’écran de l'onglet Couverture de la vue d’ensemble de la sécurité pour une organisation.

L’analyse des dépendances, l’analyse du code et les alertes d’analyse des secrets sont activées une fois qu’un fichier de résultat SARIF est envoyé avec succès à Advanced Security. En d'autres termes, une analyse réussie, indépendamment de la découverte d'une alerte sur n'importe quelle branche d'un référentiel, permet de couvrir l'outil et le référentiel en question. Le statut d'habilitation ne tient pas compte de la récence de l'analyse. Il peut y avoir un délai de 24 heures maximum pour les événements d'activation récents après la sélection de Enable all au niveau de l'organisation ou du projet.

Pointez sur un référentiel spécifique et sélectionnez l’icône de roue dentée vous dirige vers le volet paramètres de ce référentiel où vous pouvez activer Advanced Security. Pour plus d’informations sur la configuration des fonctionnalités Advanced Security, consultez Configurer GitHub Advanced Security.

Vous pouvez exporter les résultats de l’onglet Couverture vers un fichier CSV.

L’onglet Couverture inclut également des métriques de cumul au niveau de l’organisation pour l’analyse de la couverture et de l’exposition, que vous pouvez segmenter à l’aide de filtres pour le projet, le référentiel, l’ensemble d’outils, la période et l’état de couverture.

Note

Les métriques de cumul au niveau de l’organisation sous l’onglet Couverture sont actuellement en préversion privée. La disponibilité peut donc varier selon l’organisation.

Onglet Alertes

L’onglet Alertes vous donne une vue combinée des alertes de sécurité individuelles dans tous les référentiels de votre organisation. Au lieu de naviguer individuellement vers chaque référentiel, vous pouvez rechercher, filtrer et hiérarchiser les alertes à partir d’un tableau de bord centralisé.

L’onglet Alertes prend en charge le filtrage par :

  • Outil : filtrez par source d’alerte, comme l’analyse du code, l’analyse des dépendances, l’analyse des secrets ou les résultats des programmes malveillants.
  • Gravité : filtrez par niveau de gravité d’alerte, tel que critique, élevé, moyen ou faible.
  • État : filtrez par état d’alerte, par exemple ouvert, ignoré ou résolu.
  • Project : filtrez par Azure DevOps project.
  • Référentiel : filtrez par référentiel spécifique.
  • Limitée dans le temps : filtrez les alertes lorsqu’elles ont été introduites.

Lorsque vous sélectionnez un outil spécifique, vous voyez des filtres spécifiques. Pour les secrets, ces filtres incluent la validité et le type de secret. Pour les dépendances, ces filtres incluent le package et l’écosystème. Pour le code, ces filtres comprennent l’outil et la règle.

Les résultats des programmes malveillants apparaissent sous la forme d’un type d’alerte distinct en même temps que les alertes d’analyse des dépendances existantes dans l’affichage Dépendances et dans l’onglet Alertes de vue d’ensemble de la sécurité. Comme avec d’autres types d’alertes, vous pouvez filtrer, examiner, ignorer et rouvrir les résultats des programmes malveillants.

Note

Les résultats des programmes malveillants sont actuellement en préversion privée. La disponibilité peut donc varier selon l’organisation.

Capture d’écran de l’activation de la page Alertes dans l’onglet Vue d’ensemble de la sécurité.

Export

Vous pouvez exporter jusqu’aux 1 000 premières alertes de l’onglet Alertes vers un fichier CSV pour l’analyse, la création de rapports ou l’intégration hors connexion à d’autres outils. L’exportation respecte vos filtres actuellement appliqués.

Campagnes de sécurité

Les campagnes de sécurité vous permettent de créer et de partager des vues filtrées d’alertes pour coordonner les efforts de correction entre les équipes. Utilisez des filtres pour vous concentrer sur des types de vulnérabilités, des niveaux de gravité ou des référentiels spécifiques, puis partagez la vue de campagne avec votre équipe à l’aide de l’URL.

La page applique des filtres en tant que paramètres d’URL. Vous pouvez facilement partager une vue filtrée spécifique avec votre équipe en copiant l’URL.

Capture d’écran d’une vue Alertes filtrées utilisée pour créer une campagne de sécurité dans l’onglet Vue d’ensemble de la sécurité.

Les campagnes sont utiles pour :

  • Correction basée sur sprint : créez une campagne pour toutes les alertes critiques dans un projet spécifique afin de suivre la progression de la correction pendant un sprint.
  • Triage spécifique à l’outil : filtrez vers un outil d’analyse spécifique pour examiner et trier toutes les alertes de cette source.
  • Coordination entre plusieurs dépôts — partagez une vue filtrée avec des ingénieurs travaillant sur plusieurs dépôts afin de réduire un type précis de vulnérabilités.
  • Dernière mise à jour :