Segurança da aplicação: encontrado significa corrigido

O GitHub Code Security ajuda os desenvolvedores a proteger seu código sem reduzir a velocidade. O CodeQL e o AI Scan detectam vulnerabilidades, o Copilot as corrige e a revisão de dependência e as campanhas de segurança evitam o acúmulo de riscos, tudo isso dentro do fluxo de trabalho do GitHub.

O Copilot Autofix usa sugestões de código alimentadas por IA para corrigir automaticamente vulnerabilidades de segurança identificadas pelo CodeQL. Quando uma vulnerabilidade de segurança é detectada, o Copilot Autofix analisa o contexto de código, entende o problema de segurança subjacente e gera uma correção apropriada, contextualizada e precisa. Esse recurso preenche a lacuna entre a detecção e a correção de vulnerabilidades, permitindo que devs revisem e apliquem as correções sugeridas por IA diretamente no fluxo de trabalho.

Campanhas de segurança fornecem uma estrutura concebida para o planejamento, o rastreamento e a implementação de correções de segurança em vários repositórios e equipes, permitindo que você liquide sistematicamente a dívida de segurança. Com as campanhas de segurança, as equipes de segurança podem agrupar vulnerabilidades relacionadas, priorizar os esforços de correção, atribuir propriedade e monitorar o progresso por meio de um painel unificado. As campanhas de segurança podem ser organizadas por tipo de vulnerabilidade, iniciativa de segurança, requisito de conformidade ou qualquer outro agrupamento lógico para coordenar melhorias de segurança em escala.

A dependency review verifica pull requests quanto a dependências vulneráveis antes que elas sejam introduzidas em sua base de código. Ela avalia o impacto da segurança de alterações de dependências, identificando pacotes vulneráveis e seus níveis de severidade para evitar que haja o merge de problemas de segurança. Essa ferramenta mostra as alterações detalhadas das dependências comparando os branches head e base, destacando as dependências atualizadas, removidas e adicionadas junto com as vulnerabilidades conhecidas.

Os alertas do Dependabot agora oferecem um sistema Exploit Prediction Scoring System (EPSS) do Forum of Incident Response and Security Teams (FIRST) global, que ajuda você a avaliar melhor os riscos de vulnerabilidades. O EPSS ajuda as organizações a priorizar a correção de vulnerabilidades prevendo a probabilidade de uma vulnerabilidade ser explorada nos próximos 30 dias. Ele fornece uma pontuação de 0 a 1 (0 a 100%), junto com uma classificação de percentil para indicar como a vulnerabilidade se compara com as outras.

A avaliação de risco de segurança do código é uma avaliação gratuita que analisa os repositórios para identificar as potenciais vulnerabilidades a nível de código e realça as áreas em que o GitHub Code Security pode ajudar a aprimorar a postura de segurança. Saiba mais sobre avaliações de risco de segurança do GitHub.

O AI Scan usa IA para encontrar vulnerabilidades, inclusive em linguagens sem suporte no CodeQL. Ele revisa cada pull request (disponibilidade geral) e examina repositórios inteiros sob demanda (prévia pública). As descobertas no repositório tornam-se alertas de Code Scanning que você pode monitorar, atribuir e corrigir, assim como qualquer outro tipo de alerta. O AI Scan vem desativado por padrão: um administrador pode ativá-lo nas configurações de Code Scanning, e qualquer pessoa com permissão de gravação para a verificação de código poderá, então, iniciar uma verificação no repositório.

Sim. Code scanning para aplicações de IA (versão prévia pública) revisa pull requests quanto a riscos exclusivos de aplicações de IA: injeção indireta de prompt, divulgação de informações confidenciais e autonomia excessiva. Ele identifica caminhos de código onde conteúdo não confiável pode alcançar um modelo com acesso a ferramentas ou dados, e explica como corrigi-los. Ative-o em configurações de code scanning.