Visualización y corrección de alertas de seguridad en la aplicación GitHub Copilot

Acerca de la GitHub extensión de seguridad

La GitHub extensión de seguridad le permite encontrar, comprender y corregir code scanning alertas sin salir del GitHub Copilot app. También puede revisar sus cambios locales para detectar nuevas vulnerabilidades antes de abrir una solicitud de incorporación de cambios.

La extensión se instala como parte del complemento github-security. La extensión proporciona un lienzo con la etiqueta Seguridad, donde puede trabajar con alertas existentes y ejecutar revisiones de seguridad locales junto con la sesión.

Requisitos previos

Para usar la GitHub extensión de seguridad, necesita:

• Un plan Copilot y el GitHub Copilot app, con sesión iniciada en su cuenta GitHub. Consulte Introducción a la aplicación Copilot de GitHub.
• Permiso para instalar el complemento github-security dentro de la configuración administrada de su empresa, si está configurado.

Si usa Copilot Business o Copilot Enterprise, la GitHub Copilot app directiva debe estar habilitada. Si se bloquea el acceso a la aplicación o al complemento, póngase en contacto con el administrador.

Para ver las alertas existentes code scanning de un repositorio en el lienzo Seguridad, también necesita acceso a las alertas del repositorio, con code scanning habilitado. Los repositorios privados requieren GitHub Code Security. Consulte Establecimiento de la configuración predeterminada para el examen del código.

La extensión admite repositorios en GitHub.com y GitHub Enterprise Cloud con residencia de datos. No se admite GitHub Enterprise Server.

No necesita tener code scanning habilitado ni una licencia de GitHub Code Security para ejecutar una revisión de seguridad local.

Instalación de la GitHub extensión de seguridad

Para instalar el complemento desde el terminal mediante Copilot CLI, escriba:

copilot plugin install github-security@awesome-copilot

copilot plugin install github-security@awesome-copilot

Como alternativa, instale el complemento en GitHub Copilot app:

1. En la barra lateral de la aplicación, haga clic en Personalizar.
2. En la barra de búsqueda, busque github-security.
3. En Complementos, junto a "github-security", haga clic en + Instalar.

Después de la instalación, el complemento y su extensión se habilitan automáticamente.

Visualización de alertas de análisis de código en el lienzo de seguridad

Use la extensión para ver las alertas abiertas code scanning en el repositorio, ordenadas por gravedad. Code scanning debe estar habilitado para el repositorio y usted debe tener acceso a sus alertas.

1. Inicie una nueva sesión para el repositorio en la que desea trabajar.
2. Si el Canvas de seguridad aún no está abierto, haga clic en , mantenga el puntero sobre Canvas y, a continuación, haga clic en Seguridad.
3. En la página principal del lienzo Seguridad de la extensión, haga clic en Code scanning resultados.
4. Para restringir la lista, en la esquina superior derecha del lienzo, haga clic para mostrar los controles de búsqueda y filtro.
5. Haga clic en el título de una alerta para ver su descripción, gravedad y código afectado en el lienzo.

Compruebe las solicitudes de incorporación de cambios vinculadas de la alerta para ver si alguien ya está trabajando en una corrección. Para abrir la página de alerta completa en GitHub, mantenga el puntero sobre la fila de la alerta, haga clic en y, a continuación, haga clic en Abrir en el explorador.

La extensión muestra alertas code scanning, no alertas Dependabot ni secret scanning.

Comprender y corregir alertas

Los botones Explicar y corregir solicitan al Copilot agente de la sesión que actúe sobre las alertas seleccionadas code scanning:

• Explicación le pide al agente que explique las alertas para que pueda comprender las vulnerabilidades antes de decidir cómo abordarlas.
• Fix pide al agente que cambie el código para solucionar las alertas.

1. Para trabajar en una sola alerta, haga clic en ella para abrir sus detalles o pase el puntero sobre ella en la lista de resultados para mostrar los botones Explain y Fix. Para trabajar en varias alertas, active las casillas situadas junto a ellas.
2. Haga clic en el botón Explain o Fix.
3. Revise la respuesta del agente en la sesión. Si solicitó una corrección, revise el diff y ejecute las pruebas pertinentes para el proyecto.
4. Continúe la conversación para ajustar la corrección según sea necesario.

Al hacer clic en Solucionar, Copilot solo se aplica a tu copia de trabajo local. No confirma los cambios, los envía ni abre una solicitud de extracción. Cuando esté satisfecho con los cambios, haga commit y haga push a través del proceso de revisión normal.

Una corrección local no cierra una alerta code scanning. Una vez que la corrección llega a la rama afectada y code scanning se ejecuta de nuevo, determina si la alerta está resuelta. Consulte Resolución de alertas de análisis de código.

También puede preguntar Copilot sobre sus alertas directamente en el chat. Por ejemplo:

Explain the highest-severity open code scanning alert in this
repository and suggest how I could fix it. Do not change any files.

Explain the highest-severity open code scanning alert in this
repository and suggest how I could fix it. Do not change any files.

Las herramientas de la extensión de seguridad siguen la configuración de permisos de herramientas de la aplicación. Cuando se requiere aprobación, Copilot pregunta antes de usarlas, de la misma manera que otras herramientas.

Descartar alertas

Descarte una alerta cuando haya determinado que no es necesario corregirla, por ejemplo, porque es un falso positivo. Necesita permiso para descartar alertas code scanning en el repositorio.

A diferencia de corregir el código localmente, descartar una alerta la actualiza en GitHub.

1. Haga clic en la parte superior de la página de detalles de la alerta o, en la lista de hallazgos, mantenga el puntero sobre la fila de la alerta y haga clic en el mismo icono.
2. Haga clic en Descartar.
3. Seleccione un motivo y agregue un comentario que explique su decisión.
4. Haga clic en Descartar hallazgo o, si se requiere aprobación, Enviar solicitud.

Si descartar la alerta de forma delegada requiere aprobación para su rol en el repositorio, la extensión envía una solicitud de descarte en lugar de cerrar la alerta. La alerta permanece abierta hasta que un revisor autorizado apruebe la solicitud. Las solicitudes de descarte se revisan en GitHub, no en la extensión.

Revisión de los cambios locales para detectar nuevas vulnerabilidades

En el lienzo Seguridad de una sesión, puede pedir al Copilot agente que compruebe los cambios actuales de la sesión para detectar vulnerabilidades antes de abrir una solicitud de incorporación de cambios. También puede iniciar la revisión con el comando de /security-review barra diagonal. Se trata de una revisión centrada de tus cambios, no una auditoría de seguridad de repositorio completa o un reemplazo de code scanning.

1. Abra una sesión activa con cambios en el código en curso.
2. Si el lienzo Seguridad aún no está abierto, haga clic en , mantenga el puntero sobre Canvas y, a continuación, haga clic en Seguridad.
3. En la página principal del canvas Seguridad de la extensión, en "Revisión de seguridad", haga clic en Iniciar revisión. Como alternativa, en el cuadro de comandos de la sesión, escriba /security-review y presione Intro.
4. Revise los resultados locales en el canvas. Seleccione los resultados y, a continuación, haga clic en el botón Explicar o corregir para pedir al agente que explique los resultados o cambie el código para abordarlos.
5. Después de cambiar su código, vuelva a ejecutar la revisión. El lienzo indica cuándo ha cambiado el código desde la última revisión.

Para volver a los hallazgos de una revisión local anterior, haga clic en Últimos resultados de revisión en la página principal del lienzo Seguridad de la extensión.

Los resultados de revisión local son independientes de code scanning las alertas en GitHub. Ejecutar una revisión local no habilita code scanning.

Uso de la IA

Al hacer clic en el botón Explicar o corregir , o iniciar una revisión de seguridad, el Copilot agente usa el modelo seleccionado en la aplicación y consume AI credits como otros mensajes. Examinar y descartar alertas en el canvas no utilizan IA.