Codex Security Cloud 設定

使用 Codex Security Cloud 對已連線的 GitHub 儲存庫執行首次掃描， 然後檢視發現。之後，你可以啟用對新提交的監控。

開始前

使用具有 Codex Security Cloud 存取權限且已設定 Codex 雲端 的工作區。你需要具有連線待掃描 GitHub 儲存庫的權限。 你可以在設定過程中建立其雲環境。

如果外掛不可用，請聯絡工作區管理員檢查存取權限。 如果缺少儲存庫，請使用儲存庫選擇器中的 設定存取權限， 檢查 GitHub 應用的組織和儲存庫存取權限。如果你無法自行授予 存取權限，請讓 GitHub 管理員新增該儲存庫。

1. 安裝並開啟外掛

1. 在 ChatGPT 網頁版或桌面應用中開啟外掛。
2. 在外掛市場中搜索 Codex Security Cloud。
3. 安裝並啟用外掛，然後從已安裝的外掛列表 或側邊欄中開啟 Security Cloud。

開啟外掛市場

2. 連線 GitHub

確認你的工作區已設定 Codex 雲端。在 外掛中選擇 掃描。如果出現提示，請選擇 連線 GitHub，並使用 你自己的 GitHub 帳號登入。每位啟動掃描的使用者都需要自己的 連線及儲存庫存取權限。

Codex Security Cloud 不支援工作區連線。

3. 啟動儲存庫掃描

1. 在 New Scan（新建掃描） 中選擇儲存庫。
2. 檢視環境。Auto（自動） 會在開始時建立環境。 使用 Customize（自定義） 選擇現有環境。有關設定詳情，請參閱 Codex 雲端 環境。
3. 在 Scan Method（掃描方式） 下選擇 One-Time Scan（一次性掃描）。
4. 選擇 Create（建立）。

在 掃描 中開啟該掃描以檢視進度。等待掃描完成，然後 檢查報告的狀態和目標，再解讀發現。如果掃描 失敗或被取消，請將可用輸出視為不完整的審查結果。

4. 檢視發現的問題和可用的修復方案

開啟 Findings（發現的問題）。使用 Open findings（未解決的問題） 檢視狀態為 New（新發現）、 Triaged（已分診） 或 In Progress（處理中） 的問題。搜尋列表或使用 Filters（篩選器） 縮小結果範圍。Severity and status（嚴重程度和狀態） 圖表彙總符合條件的 問題。

從掃描結果或發現項 中開啟一個發現項。檢查其受影響的程式碼和 修訂版本、攻擊者可能採取的路徑以及驗證證據。在判斷問題是否適用之前，閱讀 所有尚未確認的假設。掃描 未報告任何發現項，並不能證明儲存庫中沒有 漏洞。

當儲存庫發現項提供使用 Codex 修復 選項時，選擇該選項會啟動 Codex 對話，以根據當前程式碼核實發現項、實施修復， 並執行相關測試。在該對話中審查生成的更改和測試證據。

來自提交監控的發現項則可能提供建議補丁。請先審查 補丁，再選擇建立草稿PR。這些操作的 效果不同，因此請按照發現項所顯示的工作流程操作。

5. 監控新提交

審查首次掃描後，你可以在新提交到來時監控 更改：

1. 選擇 Scan（掃描），然後選擇儲存庫並檢視環境。
2. 在 Scan Method（掃描方式） 下選擇 Continuous Scanning（持續掃描）。Codex Security 會掃描 儲存庫的預設分支。
3. 選擇 Scan commit history from（提交歷史掃描起點）。更長的時間範圍能提供更多上下文， 但首次掃描所需的時間也更長。
4. 可選擇新增威脅模型的範圍指導。
5. 選擇 Create（建立）。

要調整監控，請開啟儲存庫，選擇儲存庫，然後開啟 監控設定。你可以更改雲端環境、選擇要審查 多少天的歷史記錄，以及暫停或啟用監控。 選擇儲存 以應用更改。

掃描所有者、獲授編輯權限的人員以及 Codex Security 管理員 可以更改監控設定。包括暫停監控在內的更改會應用於 工作區中該儲存庫的共享設定，而不只是影響 執行更改的人員。如果你無法編輯，請聯絡掃描所有者或 Codex Security 管理員。

在監控設定 中審查生成的威脅模型，並補充 無法從程式碼中確定的部署或安全背景資訊。參閱 改進威脅模型。

有關建置、驗證或結果解讀的問題，請參閱 Cloud 常見問題。要審查 GitHub PR，請使用 安全審查。