Codex Security Cloud einrichten

Führen Sie mit Codex Security Cloud einen ersten Scan eines verbundenen GitHub-Repositorys aus und prüfen Sie anschließend die Befunde. Danach können Sie die Überwachung neuer Commits aktivieren.

Bevor Sie beginnen

Verwenden Sie einen Workspace mit Zugriff auf Codex Security Cloud und eingerichtetem Codex cloud. Sie benötigen die Berechtigung, das GitHub-Repository zu verbinden, das Sie scannen möchten. Sie können dessen Cloud-Umgebung während der Einrichtung erstellen.

Wenn das Plugin nicht verfügbar ist, klären Sie den Zugriff mit Ihrem Workspace-Administrator. Wenn ein Repository fehlt, verwenden Sie Zugriff konfigurieren in der Repository-Auswahl, um den Organisations- und Repository-Zugriff der GitHub-App zu prüfen. Wenn Sie den Zugriff nicht selbst gewähren können, bitten Sie Ihren GitHub-Administrator, das Repository hinzuzufügen.

1. Plugin installieren und öffnen

1. Öffnen Sie Plugins in ChatGPT im Web oder in der Desktop-App.
2. Suchen Sie im Plugin-Marktplatz nach Codex Security Cloud.
3. Installieren und aktivieren Sie das Plugin und öffnen Sie anschließend Security Cloud über Ihre installierten Plugins oder die Seitenleiste.

Plugin-Marketplace öffnen

2. GitHub verbinden

Stellen Sie sicher, dass Codex cloud für Ihren Workspace eingerichtet ist. Wählen Sie im Plugin Scannen. Wählen Sie bei Aufforderung GitHub verbinden und melden Sie sich mit Ihrem eigenen GitHub-Konto an. Jede Person, die Scans startet, benötigt eine eigene Verbindung und Zugriff auf das Repository.

Codex Security Cloud unterstützt keine Workspace-Verbindungen.

3. Repository-Scan starten

1. Wählen Sie unter New Scan das Repository aus.
2. Prüfen Sie die Umgebung. Auto erstellt beim Start eine Umgebung. Mit Customize wählen Sie eine vorhandene Umgebung aus. Einzelheiten zur Einrichtung finden Sie unter Umgebungen für Codex cloud einrichten.
3. Wählen Sie unter Scan Method die Option One-Time Scan aus.
4. Wählen Sie Create aus.

Öffnen Sie den Scan unter Scans, um den Fortschritt zu verfolgen. Warten Sie, bis er abgeschlossen ist, und prüfen Sie dann den gemeldeten Status und das Scan-Ziel, bevor Sie die Befunde interpretieren. Wenn er fehlschlägt oder abgebrochen wird, betrachten Sie die verfügbare Ausgabe als unvollständige Prüfung.

4. Befunde und verfügbare Korrekturen prüfen

Öffnen Sie Findings. Unter Open findings prüfen Sie Befunde mit dem Status New, Triaged oder In Progress. Durchsuchen Sie die Liste oder verwenden Sie Filters, um die Ergebnisse einzugrenzen. Das Diagramm Severity and status fasst die passenden Befunde zusammen.

Öffnen Sie einen Befund aus dem Scan oder unter Befunde. Prüfen Sie den betroffenen Code und die Revision, den möglichen Angriffsweg und die Validierungsnachweise. Lesen Sie alle ungeklärten Annahmen, bevor Sie entscheiden, ob das Problem zutrifft. Ein Scan ohne gemeldete Befunde belegt nicht, dass das Repository keine Sicherheitslücken aufweist.

Wenn ein Repository-Befund Mit Codex beheben anbietet, startet die Auswahl eine Codex-Unterhaltung, um den Befund anhand des aktuellen Codes zu prüfen, eine Korrektur zu implementieren und relevante Tests auszuführen. Prüfen Sie dort die resultierenden Änderungen und Testnachweise.

Befunde aus der Commit-Überwachung können stattdessen einen Patch-Vorschlag anbieten. Prüfen Sie diesen Patch, bevor Sie Pull-Request-Entwurf erstellen auswählen. Diese Aktionen haben unterschiedliche Auswirkungen. Folgen Sie daher dem für den Befund angezeigten Workflow.

5. Neue Commits überwachen

Nachdem Sie den ersten Scan geprüft haben, können Sie Änderungen überwachen, sobald neue Commits hinzukommen:

1. Wählen Sie Scan aus, wählen Sie dann das Repository und prüfen Sie die Umgebung.
2. Wählen Sie unter Scan Method die Option Continuous Scanning aus. Codex Security scannt den Standardbranch des Repositorys.
3. Legen Sie unter Scan commit history from den Zeitraum fest. Längere Zeiträume liefern mehr Kontext, der erste Scan dauert dadurch jedoch länger.
4. Fügen Sie optional Hinweise zur Eingrenzung des Bedrohungsmodells hinzu.
5. Wählen Sie Create aus.

Um die Überwachung anzupassen, öffnen Sie Repositories, wählen Sie das Repository aus und öffnen Sie Monitoring settings. Sie können die Cloud-Umgebung ändern, festlegen, wie viele Tage des Verlaufs geprüft werden sollen, und die Überwachung pausieren oder aktivieren. Wählen Sie Save aus, um die Änderungen zu übernehmen.

Der Scan-Verantwortliche, Personen mit Bearbeitungszugriff und Codex Security-Administratoren können die Überwachungseinstellungen ändern. Änderungen, einschließlich des Pausierens der Überwachung, gelten für die gemeinsame Konfiguration dieses Repositorys im Workspace und nicht nur für die Person, die die Änderung vornimmt. Wenn Sie sie nicht bearbeiten können, wenden Sie sich an den Scan-Verantwortlichen oder einen Codex Security- Administrator.

Prüfen Sie das generierte Bedrohungsmodell unter Überwachungseinstellungen und ergänzen Sie es um Bereitstellungs- oder Sicherheitskontext, der sich nicht aus dem Code ergibt. Siehe Das Bedrohungsmodell verbessern.

Bei Fragen zu Builds, Validierung oder der Interpretation von Ergebnissen lesen Sie die Cloud-FAQ. Zur Prüfung von GitHub-Pull-Requests verwenden Sie Security Review.