A Segurança monitora seus repositórios em busca de dependências com vulnerabilidades conhecidas, credenciais vazadas e código vulnerável, mantém todos os achados em uma única lista e converte os itens confirmados em pull requests que sua equipe revisa e mescla.
Esta seção descreve o recurso do produto: a segurança do seu código. Para saber como o próprio Coroid protege seu código e dados, consulte Segurança e implantação.
O que faz
| Proteção | O que faz | Pode falhar uma verificação |
|---|---|---|
| Dependências vulneráveis | Analisa os arquivos de bloqueio de cada projeto na versão mais recente da branch padrão e compara cada pacote com os avisos publicados. Aplica o mesmo processo às alterações nos arquivos de bloqueio de cada pull request. | Sim |
| Corrigir dependências vulneráveis | Abre um pull request para atualizar um pacote vulnerável, priorizando os achados críticos. | Não |
| Segredos vazados | Procura credenciais em todas as alterações e, uma vez, em todo o histórico da branch padrão. | Sim |
| Análise de código | As regras de segurança do Coroid para código, além do comando de análise personalizado, caso você tenha um. | Sim |
| Revisão de segurança em pull requests | Verifica os problemas de segurança identificados por Coroid, com uma checagem independente, antes que qualquer um deles possa reprovar um pull request. | Sim |
| Alertas de segurança do GitHub | Importa alertas do Dependabot, da análise de código e da varredura de segredos para que apareçam ao lado dos próprios achados de Coroid. | Não |
| Auditoria de segurança | Analisa o código mais importante e o código alterado desde a última auditoria em busca de vulnerabilidades. Mantém apenas o que uma checagem independente confirma. | Não |
Cada tipo de proteção é explicado em sua própria página nesta seção. Consulte Proteções e aplicação para saber como elas são ativadas, observadas e aplicadas.
Onde está localizada
A opção Segurança tem seu próprio lugar no menu principal, após o Controle de Qualidade:
- Visão geral: liste os achados por gravidade e quantos já passaram da data limite, a cobertura e a última varredura de cada projeto, o progresso das correções, o estado dos dados de aviso e dos alertas do GitHub.
- Achados: a lista única de tudo o que a Segurança encontrou, agrupada por projeto. Consulte Achados e seu ciclo de vida.
- Dependências: o inventário de pacotes de cada projeto, com exportação no formato CycloneDX. Consulte Dependências vulneráveis.
- Modelos de ameaça: um por projeto. Consulte Modelos de ameaça.
- Configurações: a configuração padrão da organização e de cada projeto, com uma opção de ativação para cada proteção.
Todos os membros veem a Visão geral, os Achados, as Dependências e os Modelos de ameaça dos projetos aos quais têm acesso. Os proprietários e administradores da organização alteram configurações, modelos de ameaça e exceções, e tomam medidas sobre os achados. As tarefas de correção são atividades comuns: aparecem na Factory, e um achado vincula-se à sua tarefa e ao pull request.
Como decide
A evidência decide. Um achado bloqueia uma pull request ou notifica alguém somente com evidência de um tipo específico, verificada em um commit determinado. Qualquer outro caso é listado como "Ainda não confirmado" e não gera nenhuma ação adicional. Consulte Evidência.
Sem resultado verde silencioso. Um resultado limpo só é considerado válido após uma varredura completa. Uma varredura parcial, permissão perdida, inventário desatualizado ou atraso nos dados de aviso são exibidos como cobertura desconhecida ou parcial, nunca como corrigido.
As pessoas mantêm o controle. O Coroid abre pull requests; as pessoas os mesclam. Exceções, configuração do scanner e divulgação são decididos na área de Segurança por proprietários e administradores, nunca por uma alteração em teste.
Privacidade por padrão. Os detalhes de uma vulnerabilidade que ainda não é pública permanecem dentro do Coroid até que alguém com autoridade a divulgue. Consulte Divulgação.
O Coroid nunca utiliza uma credencial que encontra. Ele não tenta usar uma credencial vazada para verificar se funciona.
Quanto custa
A Segurança está disponível em todos os planos, incluindo o gratuito.
- A detecção não tem custo. Inventários, correspondência de consultoria, varreduras de segredos e código, além da importação de alertas não utilizam o modelo AI, portanto não consomem créditos nem horas de agente. As varreduras próprias de cada organização ocupam uma das vagas de agente durante sua execução. Quando nenhuma vaga está disponível, elas aguardam, sendo exibidas como em espera no Mission Control, e a cobertura é indicada como desconhecida até que sejam executadas. Pausar o trabalho dos agentes no Mission Control não interrompe as varreduras de segurança.
- O trabalho que utiliza um modelo é cobrado da mesma forma que qualquer outro trabalho.: tarefas de correção, a auditoria de segurança e a verificação independente das alegações de segurança da Revisão do Coroid. Esse processo consome seus créditos e horas de agente, aparece em Configurações → Atividade e aguarda quando os créditos ou horas se esgotam. A detecção continua em execução.
O que ainda não é coberto
Imagens de contêiner, infraestrutura como código, varreduras em tempo de execução e licenças não são cobertos. A configuração do fluxo de trabalho de CI é coberta apenas pelas regras de código existentes do Coroid. A Visão geral indica isso, portanto nada é considerado coberto se não estiver.