Säkerhet → Inställningar har Organisationens standardinställning och varje projekt på en egen rad. Varje projekt följer standardinställningen tills någon ger det en egen konfiguration; Använd standardinställningen återställer den. Ägare och administratörer ändrar inställningarna; medlemmar ser dem i skrivskyddat läge.
Observera och tillämpa
Varje skydd har två separata tillstånd:
- Observera: upptäck, registrera och visa. Iakttagelser visas i Säkerhet, och
Coroid Security-kontrollen på pull requests rapporterar dem utan att misslyckas. - Tillämpa: underkänn en kontroll. En ändring som introducerar en iakttagelse med den valda allvarlighetsgraden eller högre underkänns, och Coroids egna uppgifter öppnar inte en pull request som passerar den.
Det finns tre alternativ för tillämpning inom varje omfattning:
| Alternativ | Innebörd |
|---|---|
| Ärv (standard) | Tillämpa när skyddet har klarat plattformens beredskapskontroll. |
| Tillämpa | Samma sak, uttryckligen valt för den här omfattningen. |
| Endast observera | Underkänn aldrig en kontroll, oavsett vad plattformen gör. |
Alla skydd börjar i läget för observation. Coroid aktiverar tillämpning för varje skydd först när skyddet har klarat sin beredskapskontroll: för beroenden krävs täckningstester och en observationsperiod utan felaktiga blockeringar; för regler om hemligheter och kod krävs kalibreringen som beskrivs nedan och samma observationsperiod. Fram till dess observerar ett skydd som är inställt på Ärv eller Tillämpa, och inställningen visar detta. När kontrollen är godkänd börjar tillämpningen för alla som valt Ärv; de som valt Endast observera fortsätter att observera.
Tillämpa är inte detsamma som att "GitHub förhindrar sammanslagning". GitHub blockerar en sammanslagning
endast där repot kräver kontrollen Coroid Security . Se
behörigheter för GitHub och säkerhetskontrollen i Coroid.
Kalibrerade regler
Läckta hemligheter och kodskanning tillämpas endast med detektorversioner som klarat kalibreringen: uppmätt precision och återkallning på en märkt uppsättning verklig kod och syntetiska hemligheter, en frekvens av falska blockeringar uppmätt genom att spela upp verkliga sammanslagna ändringar, varje rapporterat misstag sparat som ett fall som måste fortsätta att passera, samt 14 dagars observation utan felaktig blockering.
En ny detektorversion tar aldrig över tillämpningen på egen hand. Den senast godkända versionen fortsätter att tillämpas medan den nya observerar parallellt, och den nya tar över först när den klarat sin egen kalibrering. Om ingen godkänd version kan köras rapporterar ett skydd med tillämpning att det är otillgängligt och kontrollen underkänns i stället för att godkännas utan kontroll.
Inställningarna
| Skydd | Växel | Justera |
|---|---|---|
| Sårbara beroenden | Observera | Tillämpning; ”Tillämpa vid eller över” (standard: hög) |
| Åtgärda sårbara beroenden | På eller av | ”Öppna åtgärdsarbete vid eller över” (standard: hög); gräns för öppna åtgärds-pull request per projekt (standard: 5, upp till 50); agenttimmebudget, på organisationens standardinställning |
| Läckta hemligheter | Observera | Tillämpning. Endast på organisationens standardinställning: blockera nya hemligheter och ange den största genomsökta ändringen |
| Kodskanning | Observera | Tillämpning; eget skanningskommando; regellistan |
| Säkerhetsgranskning av pull requests | Observera | Tillämpning; ”Tillämpa vid eller över” (standard: hög) |
| säkerhetsaviseringar från GitHub | Observera | Inga |
| Säkerhetsgranskning | På eller av | Hur ofta: dagligen, veckovis (standard) eller månadsvis |
Vissa skydd är beroende av något annat:
- Säkerhetsgranskning av pull requests kräver att Granskning i Coroid är på för projektet i Kvalitetskontroll. Om Granskning i Coroid är av visas detta på raden och skyddet gör ingenting.
- Åtgärda sårbara beroenden på organisationens standardinställning aktiverar eller inaktiverar också det inbyggda kravet på säkerhetsåtgärder. Se Åtgärds-pull requests.
- Säkerhetsgranskning följer ditt abonnemang om du inte ändrar inställningen: på för betalabonnemang, av för Free. Se Säkerhetsgranskning.
Säkerhet kör det som Kvalitetskontroll anger
Säkerhetens skydd är inte beroende av kontrollerna i Kvalitetskontroll. Om du stänger av
anti-slop i Kvalitetskontroll stängs dess kvalitetsregler av, inte Säkerhets
kodregler. För pull requests, Coroid Security publicerar en egen kontroll, oavsett om
projektet har en publicerad leveransgraf.
Skannerns konfiguration kommer från Coroid
Skannrar körs med en konfiguration som Coroid bygger utifrån dessa inställningar och
undantagen som godkänts i Säkerhet, aldrig från filer i ändringen som testas. En
ändring som lägger till eller redigerar skannerns konfiguration (osv-scanner.toml,
.gitleaks.toml, .gitleaksignore, .github/secret_scanning.yml,
.secrets.baseline och liknande) kontrolleras med baskommittens
konfiguration och får en security.policy-changed iakttagelse. En fil i repot
kan föreslå ett undantag; det gäller först när en ägare eller administratör godkänner det i
Säkerhet. Samma regel gäller Coroids egna åtgärdsuppgifter: en agent kan inte få sin
egen kontroll att passera genom att ändra vad som undantas.
Inställningar följer med organisationen
Inställningarna för security ingår i organisationens inställningspaket tillsammans med
övriga kvalitetspolicyer, liksom varje projekts senaste hotmodell.
Undantag, iakttagelser och underlag är resultat, inte inställningar, och följer inte med.
Se Inställningars flyttbarhet.