Phase 5: Einführung und Skalierung des Codescannings

Sie können schnell Sicherheitsfunktionen in großem Maßstab mit einem security configuration, einer Sammlung von Sicherheitsaktivierungseinstellungen, die Sie auf Repositorys in einer Organisation anwenden können, aktivieren. Sie können die Merkmale von Advanced Security auf Organisationsebene mit global settings anpassen. Weitere Informationen findest du unter Informationen zum Aktivieren von Sicherheitsfunktionen in großem Umfang.

Aktivieren der Codeüberprüfung

Nachdem Sie code scanning getestet und interne Dokumentation für bewährte Verfahren erstellt haben, können Sie code scanning unternehmensweit einführen. Sie können das Standardsetup für alle Repositorys in einer Organisation über die Sicherheitsübersicht konfigurieren code scanning . Weitere Informationen finden Sie unter Konfigurieren des Standardsetups für das Codescanning im großen Stil.

Bei einigen Sprachen oder Buildsystemen müssen Sie möglicherweise stattdessen das erweiterte Setup für code scanning konfigurieren, um eine vollständige Abdeckung Ihrer Codebasis zu erhalten. Die erweiterte Einrichtung erfordert jedoch einen deutlich höheren Aufwand für die Konfiguration, Anpassung und Wartung, weshalb wir empfehlen, zunächst die Standardeinrichtung zu aktivieren.

Aufbau von Fachkompetenz

Um code scanning erfolgreich in Ihrem gesamten Unternehmen zu verwalten und zu nutzen, sollten Sie interne Fachkompetenzen aufbauen. Für das Standardsetup von code scanning ist es für Fachexperten (SMEs) von größter Bedeutung, einen der wichtigsten Bereiche zu verstehen: das Interpretieren und Beheben von code scanning-Warnungen. Weitere Informationen zu code scanning Warnungen finden Sie unter:

• Informationen zu Codeüberprüfungswarnungen
• Bewertung von Code-Scanning-Warnungen für Ihr Repository
• Lösen von Code-Scan-Warnungen

Sie benötigen auch KMU, wenn Sie erweitertes Setup für code scanning. Diese KMU benötigen Kenntnisse über code scanning Warnungen sowie Themen wie GitHub Actions und das Anpassen von code scanning Workflows für bestimmte Frameworks. Bei benutzerdefinierten Konfigurationen der erweiterten Einrichtung ziehen Sie Besprechungen zu komplizierten Themen in Betracht, um das Wissen mehrerer SMEs gleichzeitig zu vergrößern.

Für code scanning-Warnungen aus der CodeQL-Analyse können Sie die Sicherheitsübersicht verwenden, um zu sehen, wie CodeQL in Pull-Anfragen in Repositorys Ihrer Organisation arbeitet, und um Repositorys zu identifizieren, in denen möglicherweise Maßnahmen erforderlich sind. Weitere Informationen finden Sie unter Warnungsmetriken der CodeQL-Pullanforderung.