Visão geral da segurança

A visão geral de segurança fornece um painel único com um resumo do risco de segurança da sua organização e do status de habilitação de Segurança Avançada. Todas as organizações, independentemente de terem um repositório habilitado para Segurança Avançada, podem ver a guia visão geral de segurança nas configurações da organização.

O GitHub Advanced Security para Azure DevOps funciona com o Azure Repos. Para usar a Segurança Avançada do GitHub com repositórios do GitHub, consulte a Segurança Avançada do GitHub.

Sobre a visão geral de segurança

Todos os membros da organização que têm acesso para exibir as configurações da organização podem exibir a visão geral de segurança. A visão geral da segurança inclui três abas:

  • Risco – mostra a distribuição de alertas totais e de alertas por severidade em todos os projetos e repositórios com a Segurança Avançada habilitada.
  • Cobertura – mostra o status de habilitação dos recursos de Segurança Avançada em todos os repositórios em sua organização.
  • Alertas – mostra alertas individuais em todos os repositórios em sua organização, com recursos de filtragem e pesquisa.

Aba de risco

Para acessar a visão geral de segurança da sua organização, acesse a visão geral de segurança das configurações > da organização. A exibição padrão é a guia Risco , que mostra um resumo dos alertas de segurança em toda a sua organização.

Na exibição de Risco , somente repositórios com Segurança Avançada habilitada são mostrados. As contagens de alertas relatadas são apenas para alertas descobertos na ramificação padrão de cada repositório. Os repositórios desabilitados e excluídos são excluídos automaticamente dos resultados.

Você pode classificar por qualquer um dos cabeçalhos das colunas na tabela (Open, New, Dismissed, Fixed) e modificar sua consulta usando a barra de pesquisa para palavras-chave ou filtros de lista suspensa para projeto, repositório, conjunto de ferramentas, gravidade e período. O filtro de limite de tempo usa como padrão mostrar os resultados dos últimos sete dias. A URL é atualizada com todos os filtros aplicados para facilitar o compartilhamento da consulta.

A guia Risco também inclui métricas de rollup no nível da organização que resumem a exposição de alertas em todos os projetos e repositórios filtrados, para que você possa medir o risco geral sem examinar cada repositório individualmente.

Você pode exportar resultados da guia Risco para um arquivo CSV para análise ou relatório offline.

Note

As métricas de rollup no nível da organização na guia Risco estão atualmente em versão prévia privada, portanto, a disponibilidade pode variar de acordo com a organização.

Captura de tela da guia Risco na visão geral de segurança de uma organização.

Guia Cobertura

Na guia Cobertura , a visão geral de segurança mostra todos os repositórios em sua empresa, independentemente do status de habilitação. Os resultados excluem automaticamente repositórios desabilitados e excluídos. Para todos os repositórios que têm a Segurança Avançada habilitada, a visão geral inclui um detalhamento de cada ferramenta:

Captura de tela da guia Cobertura na visão geral de segurança de uma organização.

A verificação de dependência, a verificação de código e os alertas de verificação de segredo são habilitados quando um arquivo de resultado SARIF é enviado com êxito à Segurança Avançada. Em outras palavras, uma análise bem-sucedida, independentemente da descoberta de alerta em qualquer ramificação de um repositório, ilumina a cobertura para a ferramenta e o repositório específicos. O status de habilitação não considera a atualidade da verificação. Pode haver um atraso de até 24 horas para eventos de habilitação recentes após a seleção de Enable all no nível da organização ou do projeto.

Passar o mouse sobre um repositório específico e selecionar o ícone de engrenagem direciona você para o painel de configurações desse repositório, onde você pode habilitar a Segurança Avançada. Para obter mais informações sobre como configurar recursos de Segurança Avançada, consulte Configurar a Segurança Avançada do GitHub.

Você pode exportar resultados da guia Cobertura para um arquivo CSV.

A guia Cobertura também inclui métricas de rollup no nível da organização para verificação de cobertura e exposição, que você pode segmentar usando filtros para projeto, repositório, conjunto de ferramentas, período e estado de cobertura.

Note

As métricas de rollup no nível da organização na guia Cobertura estão atualmente em versão prévia privada, portanto, a disponibilidade pode variar de acordo com a organização.

Aba Alertas

A guia Alertas fornece uma exibição combinada de alertas de segurança individuais em todos os repositórios em sua organização. Em vez de navegar para cada repositório individualmente, você pode pesquisar, filtrar e priorizar alertas de um painel centralizado.

A guia Alertas dá suporte à filtragem:

  • Ferramenta – filtrar por fonte de alerta, como verificação de código, verificação de dependência, verificação secreta ou descobertas de malware.
  • Severidade – filtrar por nível de severidade de alerta, como crítico, alto, médio ou baixo.
  • Estado – filtrar por estado de alerta, como aberto, descartado ou corrigido.
  • Project — filtrar por Azure DevOps project.
  • Repositório – filtrar por repositório específico.
  • Por período — filtre alertas por quando foram gerados.

Ao selecionar uma ferramenta específica, você verá filtros específicos. Para segredos, esses filtros incluem validade e tipo de segredo. Para dependências, esses filtros incluem pacote e ecossistema. No caso do código, esses filtros incluem ferramentas e regras.

As descobertas de malware aparecem como um tipo de alerta distinto junto com os alertas de verificação de dependência existentes na exibição Dependências e na guia Alertas de visão geral de segurança. Assim como acontece com outros tipos de alerta, você pode filtrar, investigar, descartar e reabrir descobertas de malware.

Note

As descobertas de malware estão atualmente em versão prévia privada, portanto, a disponibilidade pode variar de acordo com a organização.

Captura de tela da página Habilitar Alertas na guia visão geral de segurança.

Exportar

Você pode exportar até os primeiros 1.000 alertas da guia Alertas para um arquivo CSV para análise offline, relatórios ou integração com outras ferramentas. A exportação respeita seus filtros aplicados no momento.

Campanhas de segurança

As campanhas de segurança permitem que você crie e compartilhe exibições filtradas de alertas para coordenar os esforços de correção entre as equipes. Use filtros para se concentrar em tipos de vulnerabilidade específicos, níveis de severidade ou repositórios e compartilhe a exibição da campanha com sua equipe usando a URL.

A página aplica filtros como parâmetros de URL. Você pode compartilhar facilmente uma exibição filtrada específica com sua equipe copiando a URL.

Captura de tela de uma exibição de Alertas filtrada usada para criar uma campanha de segurança na guia visão geral de segurança.

As campanhas são úteis para:

  • Correção baseada em sprint – crie uma campanha para todos os alertas críticos em um projeto específico para acompanhar o progresso da correção durante um sprint.
  • Triagem específica por ferramenta — filtre por uma ferramenta de varredura específica para revisar e triar todos os alertas dessa origem.
  • Coordenação entre repositórios – compartilhe uma exibição filtrada com engenheiros de vários repositórios para reduzir uma categoria específica de vulnerabilidades.
  • Última atualização em