Раздел Безопасность отслеживает в ваших репозиториях известные уязвимые зависимости, утечки учетных данных и уязвимый код, сохраняет все найденное в одном списке и преобразует подтвержденные результаты в запросы на объединение, которые ваша команда рассматривает и объединяет.
В этом разделе описывается функция продукта: безопасность вашего кода. О том, как сама платформа Coroid защищает ваш код и данные, см. Безопасность и развертывание.
Что он делает
| Защита | Что он делает | Может привести к сбою проверки |
|---|---|---|
| Уязвимые зависимости | Система считывает файлы блокировок каждого проекта в начале ветки по умолчанию и сопоставляет каждый пакет с опубликованными сведениями об уязвимостях. Изменения в файлах блокировок pull request также сканируются аналогичным образом. | Да |
| Исправление уязвимых зависимостей | Открывается окно pull request, в котором обновляется уязвимый пакет, причем критические находки обрабатываются в первую очередь. | Нет |
| Утечки секретов | Система ищет учетные данные во всех изменениях и также просматривает всю историю ветки по умолчанию. | Да |
| Сканирование кода | Правила безопасности кода Coroid, а также ваша собственная команда сканирования, если она у вас есть. | Да |
| Рецензирование безопасности в запросах на объединение | Система проверяет проблемы безопасности, выявленные при рецензировании Coroid, независимой проверкой перед тем, как они могут привести к сбою pull request. | Да |
| Уведомления о безопасности GitHub | Система импортирует уведомления от Dependabot, сканирования кода и сканирования секретов, чтобы они отображались рядом с результатами самой платформы Coroid. | Нет |
| Аудит безопасности | Система анализирует ваш самый важный код и код, измененный после последнего аудита, на наличие уязвимостей. Сохраняются только те результаты, которые подтверждены независимой проверкой. | Нет |
Каждый механизм защиты описан на отдельной странице в этом разделе. См. Механизмы защиты и их применение о том, как их включать, отслеживать и применять.
Где он расположен
Раздел Безопасность имеет отдельный пункт в главном меню после элемента Quality Control:
- Обзор: открытие результатов по степени серьезности и количеству просроченных элементов, охват каждого проекта и время последнего сканирования, прогресс исправлений, состояние данных о рекомендациях и уведомлений GitHub.
- Результаты: единый список всего, что обнаружил раздел Безопасность, сгруппированный по проектам. См. Результаты и их жизненный цикл.
- Зависимости: перечень пакетов каждого проекта с экспортом в формате CycloneDX. См. Уязвимые зависимости.
- Модели угроз: по одной на каждый проект. См. Модели угроз.
- Настройки: параметры по умолчанию для организации и каждого проекта с возможностью включения/отключения каждого механизма защиты.
Каждый участник видит разделы Обзор, Результаты, Зависимости и Модели угроз для проектов, к которым у него есть доступ. Владельцы и администраторы организации меняют настройки, модели угроз и исключения, а также реагируют на находки. Задачи по исправлению — это обычная работа: они отображаются в Factory, а находка ссылается на соответствующую задачу и на платформу pull request.
Как он принимает решения
Решения принимаются на основе доказательств. Находка блокирует работу pull request или уведомляет пользователей только при наличии доказательств указанного типа, подтвержденных для конкретного коммита. Все остальное отображается как «Еще не подтверждено» и не влияет на процесс иначе. См. Доказательства.
Нет скрытых зеленых индикаторов. Чистый результат учитывается только после полного сканирования. Частичное сканирование, потеря прав доступа, устаревший перечень пакетов или задержка в получении данных о рекомендациях отображаются как неизвестный или частичный охват, но никогда не как исправленный статус.
Люди сохраняют контроль. Платформа Coroid создает запросы на объединение; люди их объединяют. Исключения, настройки сканера и раскрытие информации определяются в разделе Безопасность владельцами и администраторами, а не изменениями, находящимися в стадии тестирования.
По умолчанию — приватно. Сведения об уязвимости, которая еще не стала публичной, остаются внутри платформы Coroid до тех пор, пока уполномоченное лицо не раскроет их. См. Раскрытие информации.
Платформа Coroid никогда не использует обнаруженные учетные данные. Система не пытается проверить, работают ли утеченные учетные данные.
Сколько это стоит
Функция Безопасность доступна во всех тарифных планах, включая бесплатный.
- Обнаружение угроз не требует дополнительных затрат. Инвентаризация, сопоставление рекомендаций, сканирование секретов и кода, а также импорт оповещений не используют модель AI, поэтому не тратят ни кредиты, ни часы работы агентов. Сканирования, выполняемые самой организацией, занимают один из доступных слотов агентов во время своего запуска. Если свободных слотов нет, задачи ожидают выполнения, что отображается как «в ожидании» в разделе Mission Control, а уровень покрытия будет указан как «неизвестно» до завершения сканирования. Приостановка работы агентов в разделе Mission Control не приостанавливает процесс сканирования на предмет безопасности.
- **Задачи, использующие модель, оплачиваются так же, как и любые другие задачи.**К таким задачам относятся исправление ошибок, аудит безопасности и независимая проверка утверждений о безопасности в рамках функции Coroid Review. Для их выполнения расходуются ваши кредиты и часы работы агентов, информация о них отображается в разделе Настройки → Активность, а при исчерпании кредитов или часов работы агентов задачи переходят в режим ожидания. Процесс обнаружения угроз при этом продолжает работать.
Что еще не охвачено
Образы контейнеров, инфраструктура как код, сканирование во время выполнения программ и лицензии пока не охвачены. Конфигурация конвейеров непрерывной интеграции охватывается только существующими правилами кода от Coroid. Об этом указано в разделе Обзор, поэтому ничего, не указанного там как охваченное, не будет считаться охваченным.