GitHub Copilot 앱 보안 경고 보기 및 수정

GitHub 보안 확장 프로그램 정보

GitHub 보안 확장을 사용하면 code scanning 경고를 찾고 이해하고 GitHub Copilot app을(를) 떠나지 않고도 수정할 수 있습니다. 끌어오기 요청을 열기 전에 새 취약성에 대한 로컬 변경 내용을 검토할 수도 있습니다.

플러그 인의 일부로 확장을 설치합니다 github-security . 확장은 기존 경고로 작업하고 세션과 함께 로컬 보안 검토를 실행할 수 있는 보안으로 표시된 캔버스를 제공합니다.

Prerequisites

GitHub 보안 확장을 사용하려면 다음이 필요합니다.

• Copilot 플랜 및 GitHub Copilot app, GitHub 계정에 로그인됨. GitHub Copilot 앱 시작을(를) 참조하세요.
• 구성된 경우 엔터프라이즈의 관리 설정 아래에서 github-security 플러그인을 설치할 수 있는 권한입니다.

Copilot Business 또는 Copilot Enterprise을 사용하는 경우 GitHub Copilot app 정책을 사용 설정해야 합니다. 앱 또는 플러그 인에 대한 액세스가 차단된 경우 관리자에게 문의하세요.

보안 캔버스에서 리포지토리에 대한 기존 code scanning 경고를 보려면 code scanning가 사용하도록 설정된 해당 리포지토리의 경고에 대한 액세스 권한도 있어야 합니다. 프라이빗 리포지토리에는 GitHub Code Security이(가) 필요합니다. 코드 검사에 대한 기본 설정 구성을(를) 참조하세요.

확장은 데이터 상주를 지원하는 GitHub Enterprise Cloud 및 GitHub.com의 리포지토리를 지원합니다. GitHub Enterprise Server은 지원되지 않습니다.

로컬 보안 검토를 실행하는 데는 GitHub Code Security 활성화 또는 code scanning 라이선스가 필요하지 않습니다.

GitHub 보안 확장 프로그램 설치

Copilot CLI를 사용하여 터미널에서 플러그 인을 설치하려면 다음을 입력합니다.

copilot plugin install github-security@awesome-copilot

copilot plugin install github-security@awesome-copilot

또는 GitHub Copilot app에 플러그인을 설치합니다:

1. 앱 사이드바에서 사용자 지정을 클릭합니다.
2. 검색 창에서 github-security를 검색합니다.
3. 플러그 인의 "github-security" 옆에 있는 + 설치를 클릭합니다.

설치 후 플러그 인 및 해당 확장이 자동으로 사용하도록 설정됩니다.

보안 캔버스에서 코드 검사 경고 보기

확장을 사용하여 심각도 순으로 리포지토리에서 열린 code scanning 경고를 볼 수 있습니다. Code scanning을 리포지토리에 대해 사용하도록 설정해야 하며 리포지토리의 경고에 액세스할 수 있어야 합니다.

1. 작업하려는 리포지토리에 대한 새 세션을 시작합니다.
2. 보안 캔버스가 아직 열려 있지 않으면 **** 를 클릭하고 위에 마우스를 올린 다음 Security를 클릭합니다.
3. 확장의 보안 캔버스 홈 페이지에서 Code scanning파인딩을 클릭합니다.
4. 목록의 범위를 좁히려면 캔버스의 오른쪽 위 모서리에서 를 클릭하여 검색 및 필터 컨트롤을 표시합니다.
5. 경고 제목을 클릭하여 캔버스에서 설명, 심각도 및 영향을 받는 코드를 봅니다.

경고의 연결된 풀 리퀘스트를 확인하여 누군가가 이미 수정 작업을 하고 있는지 확인합니다. GitHub에서 전체 경고 페이지를 열려면 경고 행을 마우스로 가리키고 을 클릭한 다음 브라우저에서 열기를 클릭합니다.

확장 프로그램에는 Dependabot 경고만 표시되며, secret scanning 또는 code scanning 경고는 표시되지 않습니다.

경고 이해 및 수정

설명 및 수정 단추는 세션의 Copilot 에이전트에게 선택한 code scanning 경고에 대해 작업하도록 요청합니다.

• Explain은 취약성에 대응하는 방법을 결정하기 전에 취약성을 이해할 수 있도록 에이전트에 경고를 설명하도록 요청합니다.
• Fix은 에이전트에게 경고를 해결하기 위해 코드를 변경하도록 요청합니다.

1. 단일 경고를 처리하려면 해당 경고를 클릭하여 세부 정보를 열거나 결과 목록에서 마우스로 가리켜 설명 및 수정 단추를 표시합니다. 여러 경고에 대해 작업하려면 해당 경고 옆의 확인란을 선택합니다.
2. 설명 또는 수정 단추를 클릭합니다.
3. 세션에서 에이전트의 응답을 검토합니다. 수정을 요청한 경우 diff를 검토하고 프로젝트에 대한 관련 테스트를 실행하세요.
4. 대화를 계속하여 필요에 따라 해결 방법을 조정합니다.

수정을 클릭하면 Copilot이(가) 로컬 작업 복사본만 변경합니다. 변경 내용을 커밋하거나 푸시하거나 풀 리퀘스트를 열지 않습니다. 변경 내용에 만족하면 일반적인 검토 프로세스를 통해 커밋하고 푸시합니다.

로컬 수정 사항은 code scanning 경고를 닫지 않습니다. 수정 사항이 영향을 받는 분기에 도달하고 code scanning 다시 실행되면 경고가 해결되는지 여부를 결정합니다. 코드 검사 경고 해결을(를) 참조하세요.

채팅에서 직접 Copilot에 대해 물어볼 수도 있습니다. 다음은 그 예입니다.

Explain the highest-severity open code scanning alert in this
repository and suggest how I could fix it. Do not change any files.

Explain the highest-severity open code scanning alert in this
repository and suggest how I could fix it. Do not change any files.

보안 확장의 도구는 앱의 도구 사용 권한 설정을 따릅니다. 승인이 필요한 경우, Copilot는 다른 도구와 동일한 방식으로 사용하기 전에 확인합니다.

경고 해제하기

예를 들어 가양성이므로 고칠 필요가 없다고 판단되면 경고를 해제합니다. 리포지토리에서 code scanning 경고를 무시할 수 있는 권한이 필요합니다.

코드를 로컬로 수정하는 것과 달리 경고를 해제하면 GitHub에서 업데이트됩니다.

1. 경고의 세부 정보 페이지 위쪽에서 아이콘을 클릭하거나 결과 목록에서 경고의 행을 마우스로 가리키고 동일한 아이콘을 클릭합니다.
2. 해제를 클릭합니다.
3. 이유를 선택하고 결정을 설명하는 의견을 추가합니다.
4. 탐지 결과 해제를 클릭하거나 승인이 필요한 경우 요청 제출을 클릭합니다.

리포지토리에서 맡은 역할에 대해 위임된 경고 해제에 승인이 필요한 경우, 확장은 경고를 닫는 대신 해제 요청을 제출합니다. 권한 있는 검토자가 요청을 승인할 때까지 경고가 열린 상태로 유지됩니다. 해제 요청은 확장 프로그램이 아니라 GitHub에서 검토됩니다.

새 취약성에 대한 로컬 변경 내용 검토

세션에 대한 보안 캔버스에서 끌어오기 요청을 열기 전에 Copilot 에이전트에게 세션의 현재 변경 내용에 대한 취약성을 확인하도록 요청할 수 있습니다. 슬래시 명령을 사용하여 검토를 /security-review 시작할 수도 있습니다. 이것은 귀하의 변경 사항에 대한 집중적인 검토이며, 전체 리포지토리 보안 감사나 code scanning에 대한 대체가 아닙니다.

1. 진행 중인 코드 변경 내용이 있는 활성 세션을 엽니다.
2. 보안 캔버스가 아직 열려 있지 않으면 **** 을 클릭하고 에 마우스를 올린 다음 Security를 클릭합니다.
3. 확장의 보안 캔버스 홈 페이지의 "보안 검토"에서 검토 시작을 클릭합니다. 또는 세션의 프롬프트 상자에 /security-review을 입력하고 Enter 키를 누릅니다.
4. 캔버스에서 로컬 결과를 검토합니다. 문제를 선택한 다음 설명 또는 수정 단추를 클릭하여 에이전트에 문제를 설명하거나 코드를 변경하여 해결하도록 요청합니다.
5. 코드를 변경한 후 검토를 다시 실행하세요. 캔버스는 마지막 검토 이후 코드가 변경되었는지를 나타냅니다.

이전 로컬 검토 결과로 돌아가려면 확장의 보안 캔버스 홈 페이지에서 마지막 검토 결과를 클릭하세요.

로컬 검토 결과는 code scanning의 GitHub 경고와는 별개입니다. 로컬 검토를 실행해도 code scanning가 활성화되지 않습니다.

AI 사용

설명 또는 수정 단추를 클릭하거나 보안 검토를 시작하면 에이전트는 Copilot 앱에서 선택한 모델을 사용하고 다른 프롬프트처럼 AI credits을(를) 소모합니다. 캔버스에서 경고를 찾아보고 해제하는 것은 AI를 사용하지 않습니다.