Phase 2 : Préparation à l’activation à grande échelle

Préparation à l’activation de code scanning

Code scanning es une fonctionnalité que vous utilisez pour analyser le code dans un dépôt GitHub afin de détecter d’éventuelles vulnérabilités de sécurité et erreurs de codage. Tous les problèmes identifiés par l’analyse sont énumérés dans votre référentiel. Pour plus d’informations, consultez À propos de l’analyse du code.

Le déploiement de l’code scanning sur des centaines de dépôts peut être difficile, en particulier lorsque le déploiement est effectué de manière inefficace. Le suivi de ces étapes vous permettra de garantir l’efficacité et le succès de votre déploiement.

Préparation des équipes pour code scanning

Tout d’abord, préparez vos équipes à utiliser l’code scanning. Plus le nombre d’équipes utilisant l’code scanning sera élevé, plus vous aurez de données pour générer des plans de correction et superviser la progression de votre déploiement.

Pour une présentation de code scanning, consultez : * À propos de l’analyse du code * À propos des alertes d’analyse du code * Évaluation des alertes d’analyse du code pour votre référentiel

Votre objectif principal doit être de préparer le plus possible d'équipes à utiliser code scanning. Vous pouvez également encourager les équipes à apporter des corrections appropriées, mais nous vous recommandons de privilégier l’activation et l’utilisation de l’code scanning par rapport à la résolution des problèmes au cours de cette phase.

Activation de code scanning pour votre appareil

Avant de pouvoir poursuivre les programmes pilotes et déployer l’code scanning dans votre entreprise, vous devez d’abord activer l’code scanning pour votre appliance. Pour plus d’informations, consultez « Configuration de l’analyse de code pour votre appliance ».

Préparation pour activer secret scanning

Si un projet communique avec un service externe, il se peut qu’il utilise un jeton ou une clé privée pour l’authentification. Si vous archivez un secret dans un dépôt, toute personne disposant d’un accès en lecture au dépôt peut l’utiliser pour accéder au service externe avec vos privilèges. Secret scanning analysera l’intégralité de votre historique Git sur toutes les branches présentes dans vos référentiels GitHub pour les secrets, et vous avertira ou bloquera l’envoi (push) contenant le secret. Pour plus d’informations, consultez « À propos de l’analyse des secrets ».

Considérations lors de l’activation de secret scanning

Activer secret scanning au niveau de l’organisation peut être facile, mais cliquer sur Tout activer au niveau de l’organisation et sélectionner l’option Activer automatiquement secret scanning pour chaque nouveau référentiel peut avoir des effets en aval dont vous devez être conscient :

Consommation de licence

Activer secret scanning pour tous les référentiels vous permettra d’optimiser l’utilisation des licences GitHub Secret Protection. Cela convient si vous avez suffisamment de licences pour les contributeurs actuels de tous ces référentiels. Si le nombre de développeurs actifs est susceptible d’augmenter au cours des prochains mois, vous risquez de dépasser votre limite de licence et de ne pas pouvoir utiliser secret scanning sur les référentiels nouvellement créés.

Volume initial élevé de secrets détectés

Si vous activez l’secret scanning sur une grande organisation, préparez-vous à voir un grand nombre de secrets trouvés. Parfois, cela provoque un choc pour les organisations et l’alarme est déclenchée. Si vous souhaitez activer l’secret scanning sur tous les dépôts à la fois, planifiez la façon dont vous répondrez aux alertes multiples au sein de l’organisation.

L’Secret scanning peut être activée pour des dépôts individuels. Pour plus d’informations, consultez « Activation de l’analyse des secrets pour votre dépôt ». L’Secret scanning peut également être activée pour tous les dépôts de votre organisation, comme décrit ci-dessus. Pour plus d’informations sur l’activation pour tous les référentiels, consultez Gestion des paramètres de sécurité et d'analyse pour votre organisation.

Modèles personnalisés pour secret scanning

Secret scanning détecte un grand nombre de modèles par défaut, mais peut également être configurée pour détecter des modèles personnalisés, tels que les formats de secrets propres à votre infrastructure ou utilisés par les intégrateurs, que secret scanning de GitHub ne détecte pas actuellement. Pour plus d’informations sur les secrets pris en charge dans les modèles de partenaires, consultez Modèles de détection de secrets pris en charge.

Lorsque vous auditez vos dépôts et discutez avec les équipes de sécurité et de développement, créez une liste des types de secrets que vous utiliserez ultérieurement pour configurer des modèles personnalisés pour l’secret scanning. Pour plus d’informations, consultez « Définition de modèles personnalisés pour l’analyse des secrets ».

Protection de poussée pour secret scanning

La protection push pour les organisations et les référentiels demande à secret scanning de vérifier les envois (push) pour les secrets pris en charge avant que les secrets soient validés dans la base de code. Pour plus d’informations sur les secrets pris en charge, consultez Modèles de détection de secrets pris en charge.

Si un secret est détecté dans un push, il est bloqué. Secret scanning liste les secrets qu’elle détecte afin que l’auteur puisse passer en revue les secrets et les supprimer ou, si nécessaire, autoriser ces secrets à être poussés.

Les développeurs ont la possibilité de contourner la protection push en signalant qu’un secret est un faux positif, qu’il est utilisé dans les tests ou qu’il sera résolu ultérieurement.

Avant d’activer la protection push, déterminez si vous devez créer des conseils pour les équipes de développement sur les conditions acceptables pour contourner la protection push. Vous pouvez configurer un lien vers cette ressource dans le message qui s’affiche lorsqu’un développeur tente d’envoyer (push) un secret bloqué.

Ensuite, familiarisez-vous avec les différentes options de gestion et de surveillance des alertes résultant du contournement de la protection push par un contributeur.

Pour plus d’informations, consultez « À propos de la protection lors du push ».