Configuration de Codex Security Cloud

Lancez une première analyse d’un dépôt GitHub connecté avec Codex Security Cloud, puis examinez ses signalements. Vous pourrez ensuite activer la surveillance des nouveaux commits.

Avant de commencer

Utilisez un espace de travail disposant d’un accès à Codex Security Cloud et dans lequel Codex cloud est configuré. Vous devez avoir l’autorisation de connecter le dépôt GitHub que vous souhaitez analyser. Vous pouvez créer son environnement cloud pendant la configuration.

Si le plugin est indisponible, vérifiez votre accès auprès de l’administrateur de votre espace de travail. Si un dépôt manque, utilisez Configurer l’accès dans le sélecteur de dépôts pour vérifier l’accès de l’application GitHub à l’organisation et aux dépôts. Si vous ne pouvez pas accorder l’accès vous-même, demandez à votre administrateur GitHub d’ajouter le dépôt.

1. Installer et ouvrir le plugin

1. Ouvrez Plugins dans ChatGPT sur le Web ou dans l’application de bureau.
2. Recherchez Codex Security Cloud dans le catalogue de plugins.
3. Installez et activez le plugin, puis ouvrez Security Cloud depuis vos plugins installés ou la barre latérale.

Ouvrir la marketplace de plugins

2. Connecter GitHub

Confirmez que Codex cloud est configuré pour votre espace de travail. Dans le plugin, sélectionnez Analyser. Si vous y êtes invité, sélectionnez Connecter GitHub et connectez-vous avec votre propre compte GitHub. Chaque personne qui lance des analyses doit disposer de sa propre connexion et d’un accès au dépôt.

Codex Security Cloud ne prend pas en charge les connexions de l’espace de travail.

3. Lancer l’analyse d’un dépôt

1. Dans Nouvelle analyse, choisissez le dépôt.
2. Vérifiez l’environnement. Auto crée un environnement au lancement. Utilisez Personnaliser pour choisir un environnement existant. Consultez les environnements Codex cloud pour les détails de configuration.
3. Sous Méthode d’analyse, sélectionnez Analyse ponctuelle.
4. Sélectionnez Créer.

Ouvrez l’analyse dans Analyses pour suivre sa progression. Attendez qu’elle se termine, puis vérifiez l’état et la cible indiqués avant d’interpréter ses signalements. Si elle échoue ou est annulée, considérez les résultats disponibles comme une revue incomplète.

4. Examiner les problèmes détectés et les correctifs disponibles

Ouvrez Problèmes détectés. Utilisez Problèmes ouverts pour examiner les problèmes dont le statut est Nouveau, Trié ou En cours. Effectuez une recherche dans la liste ou utilisez Filtres pour affiner les résultats. Le graphique Gravité et statut résume les problèmes correspondants.

Ouvrez un signalement depuis l’analyse ou depuis Signalements. Vérifiez le code et la révision concernés, le chemin qu’un attaquant pourrait emprunter et les preuves de validation. Lisez les hypothèses non résolues avant de décider si le problème s’applique. Une analyse sans signalement ne prouve pas que le dépôt ne contient aucune vulnérabilité.

Lorsqu’un signalement du dépôt propose Corriger avec Codex, cette option lance une conversation Codex pour vérifier le signalement dans le code actuel, implémenter une correction et exécuter les tests pertinents. Examinez-y les modifications obtenues et les preuves issues des tests.

Les signalements issus de la surveillance des commits peuvent proposer à la place un correctif. Examinez ce correctif avant de sélectionner Créer un brouillon de pull request. Ces actions ont des effets différents : suivez donc le workflow affiché pour le signalement.

5. Surveiller les nouveaux commits

Une fois la première analyse examinée, vous pouvez surveiller les modifications à mesure que de nouveaux commits arrivent :

1. Sélectionnez Analyser, puis choisissez le dépôt et vérifiez l’environnement.
2. Sous Méthode d’analyse, sélectionnez Analyse continue. Codex Security analyse la branche par défaut du dépôt.
3. Choisissez Analyser l’historique des commits depuis. Les périodes plus longues fournissent davantage de contexte, mais l’analyse initiale prend plus de temps.
4. Ajoutez si nécessaire des consignes pour définir le périmètre du modèle de menaces.
5. Sélectionnez Créer.

Pour ajuster la surveillance, ouvrez Dépôts, sélectionnez le dépôt, puis ouvrez Paramètres de surveillance. Vous pouvez modifier l’environnement Cloud, choisir le nombre de jours d’historique à examiner et suspendre ou activer la surveillance. Sélectionnez Enregistrer pour appliquer les modifications.

Le propriétaire de l’analyse, les personnes disposant d’un accès en modification et les administrateurs Codex Security peuvent modifier les paramètres de surveillance. Les modifications, y compris la mise en pause de la surveillance, s’appliquent à la configuration partagée de ce dépôt dans l’espace de travail, et pas seulement à la personne qui les effectue. Si vous ne pouvez pas la modifier, contactez le propriétaire de l’analyse ou un administrateur Codex Security pour obtenir de l’aide.

Examinez le modèle de menace généré dans Paramètres de surveillance et enrichissez-le avec les informations de déploiement ou de sécurité que le code ne permet pas d’établir. Consultez Améliorer le modèle de menace.

Pour toute question sur les builds, la validation ou l’interprétation des résultats, consultez la FAQ Cloud. Pour examiner les pull requests GitHub, utilisez Security Review.