ChatGPT-Dokumentation
Deutsch
Kontakt goolvyouyou@gmail.com

Security Review

Ausführliche Sicherheitsprüfungen für GitHub Pull Requests konfigurieren und ausführen.

Codex Security Review ist für Kunden von ChatGPT Enterprise, Business, Edu und Pro verfügbar. Für Plus ist es nicht verfügbar. Sicherheitsprüfungen verbrauchen das enthaltene Codex-Kontingent oder ChatGPT-Credits.

Verwenden Sie Security Review, um den Diff eines GitHub-Pull-Requests und den zugehörigen Code auf Sicherheitsprobleme zu prüfen. Sofern konfiguriert, nutzt es Kontext aus dem Bedrohungsmodell oder Sicherheitsvorgaben und veröffentlicht Befunde, die Ihren Meldeschwellenwert erreichen.

Code Review kann während seiner allgemeinen Prüfung ebenfalls Sicherheitsprobleme melden. Daher können beide Prüfungen denselben Befund melden.

Bevor Sie beginnen

Zum Konfigurieren einer automatischen Codex Security Review benötigen Sie:

  • Zugriff auf Codex Security Review für Ihren Arbeitsbereich
  • Codex cloud, eingerichtet mit einem verbundenen GitHub-Repository
  • GitHub-Push- oder Administratorberechtigung für die Repository-Einstellungen

Ein vorhandener Codex-Security-Scan ist optional.

Codex Security Review konfigurieren

Repository-Einstellungen gelten gemeinsam für alle. Änderungen wirken sich auf die Pull Requests aus, die durch die Review-Richtlinie des Repositorys ausgewählt werden, also auch auf die anderer Personen. Persönliche Präferenzen gelten für Ihre Pull Requests, wenn das Repository persönlichen Präferenzen folgt.

  1. Öffnen Sie die Codex-Einstellungen und wählen Sie ein Repository aus.
  2. Aktivieren Sie unter Review security vulnerabilities die Option Auto security review.
  3. Wählen Sie unter Review aus, welche Pull Requests mit Codex Security Review überprüft werden:
    • Follow personal preferences ermöglicht es allen Mitwirkenden, die Überprüfung über ihre persönlichen Einstellungen für Codex Security Review zu aktivieren.
    • All PRs gilt für jeden Pull Request im Repository.
    • Team PRs gilt, sofern verfügbar, für Pull Requests, die von Mitgliedern Ihres ChatGPT-Arbeitsbereichs geöffnet werden, nicht von Mitgliedern eines GitHub-Teams.
  4. Wählen Sie unter Trigger aus, wann Codex Security Review ausgeführt wird:
    • On PR open führt die Überprüfung unabhängig aus, wenn ein Pull Request geöffnet wird.
    • On every push führt die Überprüfung unabhängig aus, nachdem neue Commits gepusht wurden.
    • Whenever code review runs setzt Code Review voraus und führt Codex Security Review parallel dazu aus.

Das Verbinden von GitHub oder das Aktivieren persönlicher Prüfungen für einen anderen Mitwirkenden fordert keine zusätzliche Prüfung Ihrer Pull Requests an. Repository-Einstellungen und persönliche Einstellungen bestimmen, ob eine automatische Prüfung ausgeführt wird; sie erzeugen keine separate Prüfung pro verbundenem Benutzer. Spätere Pushes können gemäß Trigger eine weitere Prüfung auslösen, und Sie können zusätzliche Prüfungen manuell anfordern.

Kontext aus einem Bedrohungsmodell hinzufügen

Sie können ein Bedrohungsmodell konfigurieren, um Codex Kontext zu den Ressourcen Ihrer Anwendung, Vertrauensgrenzen, Sicherheitsannahmen und Repository-spezifischen Risiken bereitzustellen. Wenn für das Repository bereits eine Codex-Security-Scankonfiguration vorhanden ist, können Sie deren Bedrohungsmodell verwenden. Geben Sie andernfalls den Pfad zu einer im Repository eingecheckten Bedrohungsmodelldatei an. Wenn Sie keine Quelle angeben, generiert Codex das Bedrohungsmodell für jede Prüfung neu.

Schwellenwerte für Berichte festlegen

Standardmäßig melden automatische Codex Security Reviews Ergebnisse der Schweregrade High und Critical, während manuell angeforderte Prüfungen Ergebnisse der Schweregrade Medium, High und Critical melden. Sie können den Mindestschweregrad für automatische und manuelle Prüfungen unabhängig voneinander ändern und pfadbasierte Überschreibungen hinzufügen.

In einem Pull Request veröffentlichte Befunde übernehmen dessen GitHub- Sichtbarkeit. Alle Personen, die den Pull Request sehen können, können auch diese Befunde sehen, auch in öffentlichen Repositorys oder bei Pull Requests von Mitwirkenden außerhalb Ihres Workspaces. Der Meldeschwellenwert steuert, was Codex auf GitHub veröffentlicht. Der vollständige Bericht von Codex Security Review verbleibt in Codex.

Eine Codex Security Review anfordern

Um eine Codex Security Review manuell anzufordern, fügen Sie einem Pull Request diesen Kommentar hinzu:

@codex security review

Codex reagiert, während die Überprüfung läuft, und veröffentlicht anschließend Befunde, die Ihren Schwellenwert für die manuelle Meldung erreichen, direkt im Pull Request. Öffnen Sie die zugehörige Codex-Aufgabe und wählen Sie die Registerkarte Sicherheitsbericht, um den vollständigen Bericht anzuzeigen, einschließlich Schweregrad, Angriffspfad, Belegen, Validierung und Hinweisen zur Behebung. Wenn keine Probleme den Meldeschwellenwert erreichen, veröffentlicht Codex keine Befunde im Pull Request. Prüfen Sie den Aufgabenstatus und den vollständigen Bericht, bevor Sie das Ausbleiben von Kommentaren als abgeschlossene Überprüfung ohne Befunde interpretieren.

Verwandte Dokumentation