Настройка Codex Security Cloud

Запустите первое сканирование подключённого репозитория GitHub с помощью Codex Security Cloud, затем изучите обнаруженные проблемы. После этого можно включить мониторинг новых коммитов.

Перед началом

Используйте рабочее пространство с доступом к Codex Security Cloud и настроенным Codex cloud. Вам нужны права на подключение репозитория GitHub, который вы хотите сканировать. Его облачную среду можно создать во время настройки.

Если плагин недоступен, уточните права доступа у администратора рабочего пространства. Если репозиторий отсутствует, выберите Настроить доступ в окне выбора репозитория, чтобы проверить доступ приложения GitHub к организации и репозиторию. Если вы не можете предоставить доступ самостоятельно, попросите администратора GitHub добавить репозиторий.

1. Установите и откройте плагин

1. Откройте Плагины в веб-версии ChatGPT или в настольном приложении.
2. Найдите Codex Security Cloud в каталоге плагинов.
3. Установите и включите плагин, затем откройте Security Cloud из списка установленных плагинов или с боковой панели.

Открыть каталог плагинов

2. Подключите GitHub

Убедитесь, что Codex cloud настроен для вашего рабочего пространства. В плагине выберите Сканировать. Если появится запрос, выберите Подключить GitHub и войдите в собственную учётную запись GitHub. Каждому пользователю, запускающему сканирования, нужны собственное подключение и доступ к репозиторию.

Codex Security Cloud не поддерживает подключения рабочих пространств.

3. Запустите сканирование репозитория

1. В разделе Новое сканирование выберите репозиторий.
2. Проверьте окружение. В режиме Авто окружение создаётся при запуске. Выберите Настроить, чтобы использовать существующее окружение. Подробнее о настройке см. в разделе Облачные окружения Codex.
3. В разделе Метод сканирования выберите Разовое сканирование.
4. Выберите Создать.

Откройте сканирование в разделе Сканирования, чтобы следить за ходом выполнения. Дождитесь завершения, затем проверьте указанные статус и цель, прежде чем интерпретировать обнаруженные проблемы. Если сканирование завершилось с ошибкой или было отменено, считайте доступные результаты неполной проверкой.

4. Изучите выявленные проблемы и доступные исправления

Откройте Выявленные проблемы. В разделе Открытые проблемы просмотрите проблемы со статусом Новая, Классифицирована или В работе. Воспользуйтесь поиском по списку или Фильтрами, чтобы сузить результаты. Диаграмма Серьёзность и статус показывает сводку по соответствующим проблемам.

Откройте проблему из сканирования или раздела Проблемы. Проверьте затронутый код и ревизию, возможный путь атаки и подтверждающие данные валидации. Изучите все непроверенные предположения, прежде чем решать, применима ли проблема. Сканирование, не обнаружившее проблем, не доказывает, что в репозитории нет уязвимостей.

Если для проблемы в репозитории доступно действие Исправить с помощью Codex, его выбор запускает беседу с Codex для проверки проблемы на текущем коде, внесения исправления и выполнения соответствующих тестов. Изучите полученные изменения и результаты тестирования в этой беседе.

Для проблем, обнаруженных при мониторинге коммитов, вместо этого может предлагаться патч. Проверьте этот патч, прежде чем выбирать Создать черновик pull request. Эти действия приводят к разным результатам, поэтому следуйте процессу, указанному для проблемы.

5. Отслеживайте новые коммиты

После проверки первого сканирования можно отслеживать изменения по мере появления новых коммитов:

1. Выберите Сканировать, затем выберите репозиторий и проверьте окружение.
2. В разделе Метод сканирования выберите Непрерывное сканирование. Codex Security сканирует ветку репозитория по умолчанию.
3. Укажите С какой даты сканировать историю коммитов. Более длительный период даёт больше контекста, но увеличивает время первоначального сканирования.
4. При необходимости добавьте указания по определению области охвата модели угроз.
5. Выберите Создать.

Чтобы настроить мониторинг, откройте Репозитории, выберите репозиторий и откройте Настройки мониторинга. Вы можете изменить облачное окружение, выбрать, за сколько дней проверять историю, а также приостановить или включить мониторинг. Выберите Сохранить, чтобы применить изменения.

Владелец сканирования, пользователи с правами редактирования и администраторы Codex Security могут изменять настройки мониторинга. Изменения, включая приостановку мониторинга, применяются к общей конфигурации этого репозитория в рабочем пространстве, а не только к пользователю, который вносит изменение. Если у вас нет прав редактирования, обратитесь к владельцу сканирования или администратору Codex Security .

Изучите созданную модель угроз в разделе Настройки мониторинга и дополните её сведениями о развёртывании или безопасности, которые нельзя установить по коду. См. Улучшение модели угроз.

Ответы на вопросы о сборках, проверке или интерпретации результатов см. в FAQ по Cloud. Для проверки pull request в GitHub используйте Security Review.