Этап 3. Пилотные программы

Вы можете начать с нескольких важных проектов и команд, с которыми можно провести пилотное развертывание. Таким образом, начальная группа специалистов сможет ознакомиться с инструментами GHAS, узнать, как включать и настраивать их. Это позволит построить фундамент для развертывания GHAS в масштабе всей организации.

В этой статье

Эта статья является частью серии "Внедрение GitHub Advanced Security в большом масштабе". Предыдущие статьи в этой серии см. в разделе "Этап 2. Подготовка к включению в большом масштабе".

О пилотных программах

Мы рекомендуем определить несколько проектов или команд с высоким уровнем влияния для использования в пилотном запуске GHAS. Это позволит первой группе в вашей компании познакомиться с GHAS и создать надежный фундамент для GHAS перед развертыванием в оставшейся части компании.

Действия этого этапа помогут вам включить GHAS на предприятии, приступить к использованию его функций и изучить результаты. Если вы работаете с GitHub Professional Services, они могут оказать дополнительную помощь в рамках этого процесса посредством сессий адаптации, семинаров GHAS и устранения неполадок по мере необходимости.

Перед запуском пилотных проектов мы рекомендуем запланировать ряд совещаний для ваших команд, например стартовое совещание, проверку в середине этапа и завершающее совещание по пилотному проекту. Такие совещания помогут вам внести необходимые изменения и убедиться, что ваши команды подготовлены и располагают достаточной поддержкой для успешного выполнения пилотного проекта.

Если вы еще не включили GHAS для вашего экземпляра GitHub Enterprise Server, см. раздел "Включение GitHub Advanced Security для предприятия".

Пилотный запуск code scanning

Чтобы включить code scanning в экземпляре GitHub Enterprise Server см. раздел "Настройка сканирования кода для устройства".

Вы можете запустить code scanning в репозитории, создав рабочий процесс GitHub Actions для выполнения действия CodeQL . Дополнительные сведения о GitHub Actions см. в следующем разделе:

в рамках пилотной программы мы рекомендуем включать code scanning для конкретных репозиториев. Дополнительные сведения см. в разделе Настройка расширенной настройки для сканирования кода.

Если вы хотите включить code scanning для многих репозиториев, может потребоваться выполнить скрипт процесса.

Пример сценария для создания запросов на вытягивание, которые добавляют рабочий процесс GitHub Actions сразу в несколько репозиториев, см. пример с использованием PowerShell в репозитории jhutchings1/Create-ActionsPRs или nickliffen/ghas-enablement, если у команды нет PowerShell, и вместо него она хочет использовать NodeJS.

При выполнении начальных проверок кода может оказаться, что результаты не найдены или возвращается необычное количество результатов. Может потребоваться настроить объекты для помечания флагами при будущих проверках. Дополнительные сведения см. в разделе Настройка расширенной настройки для сканирования кода.

Если ваша компания хочет использовать другие сторонние средства анализа кода с GitHub code scanning, можно использовать действия для запуска этих средств в GitHub. Кроме того, можно отправить результаты, созданные сторонними инструментами в виде SARIF-файлов, в code scanning. Дополнительные сведения см. в разделе Интеграция со сканированием кода.

Пилотный запуск secret scanning

GitHub проверяет репозитории известных типов секретов, чтобы предотвратить случайное использование секретов, которые были совершены случайно.

Чтобы включить проверку секретов для экземпляра GitHub Enterprise Server, см. раздел "Настройка проверки секретов на ваших устройствах".

Необходимо включить secret scanning для каждого пилотного проекта, включив функцию для каждого репозитория или для всех репозиториев в любых организациях, участвующих в проекте. Дополнительные сведения см. в разделе "[AUTOTITLE" илиУправление параметрами безопасности и анализа для репозитория](/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization)".

Затем включите защиту push-уведомлений для каждого пилотного проекта.

Если вы планируете настроить ссылку на ресурс в сообщении, которое отображается при попытке разработчика отправить заблокированный секрет, теперь будет хорошим временем для тестирования и начала уточнения рекомендаций, которые вы планируете сделать доступными.

Если вы добавили какие-либо пользовательские шаблоны, характерные для вашего предприятия, особенно связанные с пилотными проектами secret scanning, вы можете настроить их. Дополнительные сведения см. в разделе Определение пользовательских шаблонов для проверки секретов.

Сведения о просмотре и закрытии оповещений о секретах, зарегистрированных в репозитории, см. в разделе "Управление оповещениями о проверке секретов".

В следующей статье этой серии см. раздел "Этап 4. Создание внутренней документации".