Avaliar a adoção de recursos de segurança de código

Você pode usar a visão geral de segurança para ver quais equipes e repositórios já habilitaram recursos de segurança de código e identificar os que ainda não estão protegidos.

Quem pode usar esse recurso?

O acesso requer:

  • Exibições da organização: acesso para gravação a repositórios na organização
  • Exibições corporativas: proprietários da organização e gerentes de segurança

Neste artigo

Sobre a adoção de recursos de segurança de código

Você pode usar a visão geral de segurança para ver quais repositórios e equipes já habilitaram cada recurso de segurança de código e onde as pessoas precisam de mais incentivo para adotar esses recursos. A exibição "Cobertura de segurança" mostra um resumo e informações detalhadas sobre a habilitação de recursos para uma organização. Você pode filtrar a exibição para mostrar um subconjunto de repositórios usando os links "habilitado" e "não habilitado", o menu suspenso "Teams" e um campo de pesquisa no cabeçalho da página.

Captura de tela da seção do cabeçalho da exibição "Cobertura de segurança" na guia "Segurança" de uma organização.

Note

Os "alertas de pull request" serão relatados como habilitados somente quando code scanning tiver analisado pelo menos uma solicitação de pull desde que os alertas foram habilitados para o repositório.

Exibir a habilitação de recursos de segurança de código para uma organização

Você pode exibir dados para avaliar a habilitação de recursos de segurança de código entre repositórios em uma organização.

  1. Em GitHub, acesse a página principal da organização.

  2. No nome da organização, clique em Segurança do .

    Captura de tela da barra de navegação horizontal para uma organização. Uma guia, rotulada com um ícone de escudo e "Segurança", tem um contorno laranja.

  3. Para exibir a exibição "Cobertura de segurança", na barra lateral, clique em Cobertura do .

  4. Use as opções no resumo da página para filtrar os resultados para mostrar os repositórios que você deseja avaliar. A lista de repositórios e métricas exibidas na página é atualizada automaticamente para corresponder à seleção atual. Para obter mais informações sobre filtragem, confira "Visão geral da filtragem de alertas na segurança."

    • Use a lista suspensa Teams para mostrar informações somente para os repositórios pertencentes a uma ou mais equipes. Para obter mais informações, confira "Gerenciar o acesso da equipe em um repositório da organização".
    • Clique em NÚMERO habilitado ou NÚMERO não habilitado no cabeçalho de qualquer recurso para mostrar apenas os repositórios com esse recurso habilitado ou não habilitado.
    • Na parte superior da lista de repositórios, clique em NÚMERO Arquivado para mostrar apenas repositórios arquivados.
    • Clique na caixa de pesquisa para adicionar mais filtros aos repositórios exibidos.

    Captura de tela da exibição "Cobertura de segurança". As opções de filtro estão contornadas em laranja-escuro.

  5. Opcionalmente, clique em Configurações de segurança do para habilitar recursos de segurança de código para um repositório e clique em Salvar configurações de segurança para confirmar as alterações. Se um recurso não for mostrado, ele terá requisitos de configuração mais complexos e você precisará usar a caixa de diálogo de configurações do repositório. Para obter mais informações, confira "Guia de início rápido para proteger seu repositório".

  6. Opcionalmente, selecione alguns ou todos os repositórios que correspondem à sua pesquisa atual e clique em Configurações de segurança no cabeçalho da tabela para exibir um painel lateral em que você pode habilitar recursos de segurança para os repositórios selecionados. Quando terminar, clique em Aplicar alterações para confirmar as alterações. Para obter mais informações, confira "Como habilitar recursos de segurança para vários repositórios".

Observação: para as configurações de habilitação do repositório único e múltiplo , a habilitação da code scanning substituirá as configurações existentes de code scanning dos repositórios selecionados, incluindo as seleções de conjunto de consultas e os fluxos de trabalho anteriores para configurações avançadas.

Na lista de repositórios, um rótulo "Pausado" no "Dependabot" indica os repositórios para os quais as Dependabot estão pausadas. Para obter informações sobre os critérios de inatividade, confira "Sobre as atualizações de segurança do Dependabot" e "Sobre as atualizações da versão do Dependabot", para atualizações de segurança e versão, respectivamente.

Exibir a habilitação de recursos de segurança de código para uma empresa

Você pode exibir dados para avaliar a habilitação de recursos de segurança de código entre organizações em uma empresa.

Na exibição de nível empresarial, você pode exibir dados sobre a habilitação de recursos, mas não pode habilitar ou desabilitar recursos.

  1. Navegue até GitHub Enterprise Cloud.

  2. No canto superior direito do GitHub, clique na sua foto de perfil e em Suas empresas.

  3. Na lista de empresas, clique na empresa que você deseja visualizar.

  4. Do lado esquerdo da página, na barra lateral da conta empresarial, clique em Segurança de Código.

  5. Para exibir a exibição "Cobertura de segurança", na barra lateral, clique em Cobertura.

  6. Use as opções no resumo da página para filtrar os resultados para mostrar os repositórios que você deseja avaliar. A lista de repositórios e métricas exibidas na página é atualizada automaticamente para corresponder à seleção atual. Para obter mais informações sobre filtragem, confira "Visão geral da filtragem de alertas na segurança."

    • Use a lista suspensa Teams para mostrar informações somente para os repositórios pertencentes a uma ou mais equipes. Para obter mais informações, confira "Gerenciar o acesso da equipe em um repositório da organização".
    • Clique em NÚMERO habilitado ou NÚMERO não habilitado no cabeçalho de qualquer recurso para mostrar apenas os repositórios com esse recurso habilitado ou não habilitado.
    • Na parte superior da lista de repositórios, clique em NÚMERO Arquivado para mostrar apenas repositórios arquivados.
    • Clique na caixa de pesquisa para adicionar mais filtros aos repositórios exibidos.

    Captura de tela da seção de cabeçalho da exibição "Cobertura de segurança". As opções de filtro estão contornadas em laranja-escuro.

Tip

Use o filtro owner no campo de pesquisa para filtrar os dados por organização. Para obter mais informações, confira "Visão geral da filtragem de alertas na segurança".

Interpretar e agir nos dados de habilitação

Alguns recursos de segurança de código podem e devem ser habilitados em todos os repositórios. Por exemplo, alertas de verificação de segredo e proteção por push reduzem o risco de um vazamento de segurança, quaisquer que sejam as informações armazenadas no repositório. Se você vir repositórios que ainda não usam esses recursos, deverá habilitá-los ou discutir um plano de habilitação com a equipe proprietária do repositório. Para obter informações sobre como ativar recursos para uma organização inteira, consulte "Gerenciando as configurações de segurança e de análise da sua organização." Para obter informações sobre como habilitar recursos em toda a empresa, consulte "Como gerenciar os recursos do GitHub Advanced Security na empresa".

Outros recursos não estão disponíveis para uso em todos os repositórios. Por exemplo, não faria sentido habilitar o Dependabot ou o code scanning para repositórios que usem apenas ecossistemas ou linguagens não compatíveis. Dessa forma, é normal ter alguns repositórios em que esses recursos não estão habilitados.

Sua empresa também pode ter configurado políticas para limitar o uso de alguns recursos de segurança de código. Para obter mais informações, confira "Como impor políticas para segurança e análise de código na empresa".