حمايات وإنفاذ

قسم الأمان ← إعدادات يحتوي على الافتراضي للمؤسسة وكل مشروع يتبع الإعدادات الافتراضية حتى يقوم أحدهم بتحديد إعدادات خاصة به؛ استخدام الإعدادات الافتراضية يعيد تطبيقها. يغير المالكون والمشرفون الإعدادات؛ بينما يراها الأعضاء كنصوص للقراءة فقط.

وضع المراقبة والإنفاذ#

لكل حماية حالتان منفصلتان:

• مراقبة: للكشف والتسجيل والعرض. تظهر النتائج في قسم الأمان، و Coroid Security التحقق من طلبات السحب يبلغ عنها دون أن يسبب فشلاً.
• إنفاذ: لإحداث فشل في عملية التحقق. أي تغيير يُنتج نتيجة بدرجة خطورة مساوية أو أعلى من المحددة يؤدي إلى فشل التحقق، ولا تقوم مهام Coroid بفتح طلب سحب بعدها.

للإنفاذ ثلاث خيارات لكل نطاق:

تبدأ كل حماية بوضع المراقبة. لا يفعّل Coroid الإنفاذ لكل حماية إلا بعد تجاوز بوابة الاستعداد الخاصة بها: بالنسبة للتبعيات، اختبارات التغطية وفترة مراقبة بدون حجب غير صحيح؛ وبالنسبة لقواعد السرية والكود، المعايرة الموضحة أدناه ونفس فترة المراقبة. حتى ذلك الحين، الحماية المضبوطة على وضع الوراثة أو التفعيل تظل في وضع المراقبة، ويُذكر ذلك في الإعدادات. بمجرد تجاوز البوابة، يحصل كل من ترك إعداد الوراثة على تفعيل؛ أما من اختار مراقبة فقط فيستمر في المراقبة.

التفعيل ليس معناه "يمنع GitHub الدمج". يمنع GitHub الدمج فقط عندما يتطلب المستودع عملية التحقق من Coroid Security التحقق. انظر صلاحيات GitHub وتحقق الأمان من Coroid.

القواعد المعايرة#

تفعيل حمايات تسرب السرية وفحص الكود يتم فقط مع إصدارات الكاشفات التي اجتازت المعايرة: دقة واسترجاع مقاسان على مجموعة مُصنفة من الكود الحقيقي والسريات الاصطناعية، معدل حجب خاطئ مُقاس عبر إعادة تشغيل التغييرات المدمجة الفعلية، كل خطأ مُبلغ عنه يُحفظ كحالة يجب أن تستمر في النجاح، بالإضافة إلى 14 يومًا من المراقبة دون حجب خاطئ.

لا يتولى إصدار جديد من الكاشف التفعيل تلقائيًا. يستمر الإصدار الأخير الموافق عليه في التفعيل بينما يراقب الإصدار الجديد إلى جانبه، ولا يتولى التفعيل إلا بعد اجتياز معايرته. إذا لم يكن هناك إصدار موافق عليه قادر على العمل، تُبلغ الحماية المفعلة عن عدم توفرها ويفشل تحققها، بدلاً من المرور دون تحقق.

الإعدادات#

بعض الحمايات تعتمد على عناصر أخرى:

• مراجعة الأمان لطلبات السحب تتطلب تفعيل خاصية مراجعة Coroid للمشروع في قسم ضبط الجودة. إذا كانت مراجعة Coroid مُعطلة، تظهر هذه الملاحظة في الصف ولا تقوم الحماية بأي عمل.
• إصلاح التبعيات الضعيفة في الإعدادات الافتراضية للمؤسسة تفعّل أو تُعطّل أيضًا أمر إصلاحات الأمان المدمجة. انظر إصلاح طلبات السحب.
• تدقيق الأمان يتبع خطتك ما لم تقم بتغييره: مفعّل للخطط المدفوعة، معطّل في النسخة المجانية. انظر تدقيق الأمان.

تعمل وظيفة الأمان وفقًا لما يحدده قسم ضبط الجودة.#

لا تعتمد إجراءات الحماية في قسم الأمان على ضوابط ضبط الجودة. عند تعطيل ميزة منع الانحراف في ضبط الجودة، يتم إيقاف قواعد الجودة الخاصة به وليس قواعد الكود في قسم الأمان. وفي طلبات السحب، Coroid Security يقوم بنشر فحصه الخاص، سواء كان المشروع يحتوي على رسم بياني للتسليم منشور أم لا.

تأتي إعدادات الماسح الضوئي من Coroid#

تعمل الماسحات الضوئية باستخدام الإعدادات التي يُنشئها Coroid من هذه الإعدادات والاستثناءات المقبولة في قسم الأمان، وليس من الملفات الموجودة ضمن التغيير قيد الاختبار. أي تغيير يضيف أو يعدل إعدادات الماسح الضوئي (osv-scanner.toml، .gitleaks.toml، .gitleaksignore، .github/secret_scanning.yml، .secrets.baseline وما شابه ذلك) يتم فحصه وفقًا لإعدادات الالتزام الأساسي ويحصل على security.policy-changed نتيجة للفحص. يمكن لملف المستودع أن يقترح استثناءً؛ ولا يتم تطبيقه إلا بعد قبوله من قبل مالك أو مسؤول في قسم الأمان. وينطبق نفس القاعدة على مهام الإصلاح الخاصة بـ Coroid: لا يمكن للوكيل جعل فحصه يمر عن طريق تغيير ما تم استثناؤه.

تنتقل إعدادات إلى جانب المنظمة#

إن إعدادات security تشكل جزءًا من حزمة إعدادات المنظمة، إلى جانب سياسات الجودة الأخرى، وكذلك أحدث نموذج تهديد لمشروع معين. الاستثناءات والنتائج والأدلة هي نتائج وليست إعدادات، ولا تنتقل مع الإعدادات. انظر قابلية نقل الإعدادات.