Configuração do Codex Security Cloud

Execute uma primeira análise de um repositório GitHub ligado com o Codex Security Cloud e, em seguida, reveja as constatações. Depois, pode ativar a monitorização de novos commits.

Antes de começar

Utilize um espaço de trabalho com acesso ao Codex Security Cloud e com o Codex cloud configurado. Precisa de permissão para ligar o repositório GitHub que pretende analisar. Pode criar o respetivo ambiente na nuvem durante a configuração.

Se o plugin não estiver disponível, verifique o acesso com o administrador do seu espaço de trabalho. Se faltar um repositório, utilize Configurar acesso no seletor de repositórios para verificar o acesso da aplicação GitHub à organização e ao repositório. Se não conseguir conceder acesso, peça ao administrador do GitHub que adicione o repositório.

1. Instalar e abrir o plugin

1. Abra Plugins no ChatGPT na Web ou na aplicação de computador.
2. Procure Codex Security Cloud no marketplace de plugins.
3. Instale e ative o plugin e, em seguida, abra Security Cloud a partir dos plugins instalados ou da barra lateral.

Abrir o marketplace de plugins

2. Ligar o GitHub

Confirme que o Codex cloud está configurado para o seu espaço de trabalho. No plugin, selecione Analisar. Se lhe for solicitado, selecione Ligar ao GitHub e inicie sessão com a sua própria conta GitHub. Cada pessoa que inicia análises precisa da sua própria ligação e de acesso ao repositório.

O Codex Security Cloud não suporta ligações do espaço de trabalho.

3. Iniciar uma análise do repositório

1. Em Nova análise, escolha o repositório.
2. Reveja o ambiente. Automático cria um ambiente quando inicia a análise. Utilize Personalizar para escolher um ambiente existente. Consulte Ambientes do Codex na nuvem para obter detalhes de configuração.
3. Em Método de análise, selecione Análise única.
4. Selecione Criar.

Abra a análise em Análises para acompanhar o progresso. Aguarde que termine e, em seguida, verifique o estado e o alvo indicados antes de interpretar as constatações. Se a análise falhar ou for cancelada, interprete os resultados disponíveis como uma revisão incompleta.

4. Rever os problemas detetados e as correções disponíveis

Abra Problemas detetados. Utilize Problemas em aberto para rever problemas com o estado Novo, Triado ou Em curso. Pesquise na lista ou utilize Filtros para restringir os resultados. O gráfico Gravidade e estado resume os problemas correspondentes.

Abra uma constatação a partir da análise ou de Constatações. Verifique o código e a revisão afetados, o percurso que um atacante poderia seguir e as evidências de validação. Leia quaisquer pressupostos por esclarecer antes de decidir se o problema se aplica. Uma análise sem constatações reportadas não demonstra que o repositório não tem vulnerabilidades.

Quando uma constatação de um repositório disponibiliza Corrigir com o Codex, a sua seleção inicia uma conversa com o Codex para verificar a constatação face ao código atual, implementar uma correção e executar os testes relevantes. Reveja nessa conversa as alterações resultantes e as evidências dos testes.

As constatações da monitorização de commits podem, em alternativa, disponibilizar um patch sugerido. Reveja esse patch antes de selecionar Criar rascunho de pull request. Estas ações têm efeitos diferentes, pelo que deve seguir o fluxo de trabalho apresentado para a constatação.

5. Monitorizar novos commits

Depois de rever a primeira análise, pode monitorizar as alterações à medida que chegam novos commits:

1. Selecione Analisar, escolha o repositório e reveja o ambiente.
2. Em Método de análise, selecione Análise contínua. O Codex Security analisa o ramo predefinido do repositório.
3. Escolha Analisar o histórico de commits desde. Períodos mais longos fornecem mais contexto, mas a análise inicial demora mais tempo.
4. Opcionalmente, adicione orientações para definir o âmbito do modelo de ameaças.
5. Selecione Criar.

Para ajustar a monitorização, abra Repositórios, selecione o repositório e abra Definições de monitorização. Pode alterar o ambiente Cloud, escolher quantos dias de histórico pretende rever e pausar ou ativar a monitorização. Selecione Guardar para aplicar as alterações.

O proprietário da análise, as pessoas com acesso de edição e os administradores do Codex Security podem alterar as definições de monitorização. As alterações, incluindo a pausa da monitorização, aplicam-se à configuração partilhada desse repositório no espaço de trabalho, e não apenas à pessoa que efetua a alteração. Se não conseguir editá-la, contacte o proprietário da análise ou um administrador do Codex Security para obter ajuda.

Reveja o modelo de ameaças gerado em Definições de monitorização e atualize-o com contexto de implementação ou de segurança que o código não permite determinar. Consulte Melhorar o modelo de ameaças.

Para questões sobre compilações, validação ou interpretação dos resultados, consulte as Perguntas frequentes sobre Cloud. Para rever pull requests do GitHub, utilize Security Review.