Устранение оповещений в кампании безопасности

Просмотр оповещений в кампании безопасности

Когда кампания предназначена для оповещений системы безопасности в репозитории с доступом на запись, вы можете перейти к списку оповещений репозитория в кампании.

• Откройте Security and quality вкладку репозитория и кликните по одной из кампаний в разделе «Кампании» в боковой панели.
• Если у вас есть доступ к более чем одному репозиторию в организации, откройте Security and quality вкладку организации и нажмите одну из кампаний в разделе «Кампании» в боковой панели.
• Кроме того, щелкните "Просмотреть кампанию безопасности" в уведомлении по электронной почте кампании.

В этом представлении отображаются оповещения в текущем репозитории для кампании под названием "Внедрение SQL (CWE-89)" (выделен серый), управляемый "октокатом" (описанным в темно-оранжевый).

Устранение оповещений в кампании безопасности

Если вы хотите увидеть код, который активировал оповещение системы безопасности и предлагаемое исправление, щелкните имя оповещения, чтобы отобразить представление оповещений.

Если Copilot облачный агент он доступен в репозитории, самый быстрый способ разрешения оповещений — назначить их Copilot, который изучает базу кода, создает исправление, проверяет его и открывает запрос на вытягивание. См. сведения о Copilot облачный агентназначении оповещений ниже. Ниже описано, как исправить оповещения самостоятельно.

1. Когда вы готовы к работе с одним или несколькими оповещениями системы безопасности, убедитесь, что никто еще не работает над этими оповещениями. В представлении кампании значки Git отображаются в оповещениях, где исправление уже может выполняться. Щелкните значок, чтобы отобразить связанную работу:

   • Открытый pull request может исправить это оповещение.
   • Открытый pull request может исправить это оповещение.
   • Ветка может содержать изменения для исправления этого оповещения.

2. В представлении кампании репозитория выберите оповещения, которые хотите исправить.

3. Подключите оповещения системы безопасности к рабочей ветви:

   • Если для выбранных оповещений доступно хотя бы одно предложение "Автофикс", нажмите кнопку "Зафиксировать автофикс " и зафиксируйте изменения в новой ветви или существующей ветви.
   • Если для выбранных оповещений нет предложений по автофиксам, нажмите «Создать новую ветку », чтобы создать новую ветку и работать над исправлением оповещений.

4. Завершив исправление оповещений и тестирование решений, создайте запрос на вытягивание изменений и запросите проверку от руководителя кампании.

Назначение оповещений Copilot облачный агент

Вместо исправления оповещений можно выбрать одно или несколько оповещений (до 25) в представлении кампании и назначить их Copilot, что разрешает выбранные оповещения в одном запросе на вытягивание и добавляет вас в качестве запрашиваемого рецензента. Это тот же поток назначения, который используется для исправления отдельного оповещения. См . раздел AUTOTITLE.

1. В представлении кампании для репозитория выберите оповещения, которые необходимо назначить.
2. Над списком оповещений нажмите кнопку "Назначить".Copilot

Обычно в течение нескольких минут Copilot открывает запрос на вытягивание, обращаюющийся к назначенным оповещениям, с сводкой исправлений и внесенных изменений. После создания запрос на вытягивание отображается рядом с предупреждением.

Использование Чат GitHub Copilot для безопасного кодирования

Если у вас есть доступ, Копилот Чат вы можете задать ИИ вопросы о уязвимости, предлагаемом решении и как проверить, что это решение полное.