Краткое руководство по защите организации

Введение

В качестве владелец организации или диспетчера безопасности можно использовать функции безопасности GitHub, чтобы обеспечить безопасность кода, зависимостей и секретов вашей организации. Дополнительные сведения см. в разделе Функции безопасности GitHub.

Потребности в безопасности вашей организации уникальны. Возможно, вы хотите включить функцию, если ваша организация пострадала от уязвимости, которая была бы препятствовала определенной функции, или если эта функция поможет вашей организации соответствовать требованиям соответствия требованиям.

Функции безопасности можно включить в нескольких репозиториях в организации одновременно. Для каждой функции, которую вы хотите включить, необходимо решить, как развернуть функцию в репозиториях вашей организации. Различные функции влияют на вашу организацию и ее участников, поэтому важно оценить влияние каждой функции. Например:

• Некоторые функции могут создавать уведомления, чтобы сообщить членам вашей организации о конкретных уязвимостях: чтобы убедиться, что эти уведомления предназначены и актуальны, вы можете попросить участников проверить их параметры уведомлений, прежде чем включить функцию. Дополнительные сведения см. в разделе Настройка уведомлений.
• Некоторые функции могут использовать ресурсы для каждого репозитория, в котором они включены. Например, включение code scanning в частном репозитории может использовать лицензию GitHub Advanced Security и выполнение анализа code scanning в репозитории приведет к использованию GitHub Actions или другой системы CI.

В качестве владелец организации вы можете предоставить определенным пользователям разрешение на включение или отключение функций безопасности, назначив роль "диспетчер безопасности" команде. Диспетчеры безопасности могут настраивать параметры безопасности и отслеживать использование функций безопасности в организации. Дополнительные сведения см. в разделе Управление диспетчерами безопасности в организации.

Сведения о предварительных требованиях функций

Некоторые функции безопасности имеют предварительные требования. Например, Dependabot alerts использует сведения из граф зависимостей, поэтому включение Dependabot alerts автоматически включает граф зависимостей.

Некоторые функции доступны только предприятиям, которые используют GitHub Advanced Security и включили Advanced Security в качестве функции для репозиториев. Дополнительные сведения см. в разделе О GitHub Advanced Security.

Существуют некоторые функции, которые необходимо настроить для каждого репозитория по отдельности. Например, чтобы включить Dependabot version updates в репозитории, необходимо добавить файл, указывающий dependabot.yml , где найти сведения о зависимостях проекта. Дополнительные сведения см. в разделе Настройка обновлений версий Dependabot.

Включение функций безопасности в организации

Когда вы решили включить функцию безопасности, необходимо решить, как развернуть эту функцию в организации.

• Если вы хотите развернуть функцию как можно быстрее, вы можете включить ее для всех подходящих репозиториев одновременно. Дополнительные сведения см. в разделе "Включение функции для всех репозиториев".
• Если вы хотите контролировать, как быстро развертывать функцию и какие функции включены в репозиториях, можно включить функцию для выбора репозиториев. Дополнительные сведения см. в разделе "Включение функции" для выбора репозиториев.

Когда вы решили, как включить функцию для существующих репозиториев вашей организации, необходимо также решить, как обрабатывать все новые репозитории, созданные в вашей организации в будущем. Дополнительные сведения см. в разделе "Включение функции для новых репозиториев".

Дополнительные сведения о создании стратегии развертывания функций безопасности в крупной организации или организации см. в разделе Введение в масштабное усыновление GitHub Advanced Security.

Включение функции для всех репозиториев

Самый быстрый способ развернуть функцию безопасности — включить ее для всех репозиториев в организации одновременно. Если вы определили критичную потребность в функции, включение ее для всех репозиториев обеспечивает защиту всей организации, не требуя приостановки разработки плана развертывания.

Прежде чем включить функцию для всех репозиториев, следует учитывать влияние этого действия. Если вы не уверены в последствиях, которые будут иметь функции, это безопасно, чтобы начать, включив функцию для ограниченного выбора репозиториев. Включение функции для всех репозиториев одновременно, скорее всего, будет подходящим вариантом в следующих ситуациях.

• У вас есть обзор всех репозиториев в вашей организации, и вы уверены, что они будут все преимущества от определенной функции.
• Если для функции требуются такие ресурсы, как GitHub Advanced Security лицензий или GitHub Actions минут, вы оценили необходимые ресурсы и рады продолжить.
• Если функция создает уведомления или запросы на вытягивание, вы уверены, что они будут целевыми и релевантными для участников, которые получают их или должны проверить их.

Когда вы будете готовы продолжить, выполните следующие действия, чтобы включить функцию для всех репозиториев.

1. На GitHubперейдите на главную страницу организации.

2. Под именем организации щелкните Settings. Если вкладка "Параметры" не отображается, выберите раскрывающееся меню и нажмите кнопку "Параметры".

   

3. На левой боковой панели щелкните Code security and analysis.

4. Найдите функцию, которую вы хотите включить и использовать все связанные флажки для точной настройки параметров.

5. Когда вы будете готовы включить функцию для всех репозиториев в организации, где поддерживается эта функция, рядом с именем функции нажмите кнопку "Включить все".

Щелкнув " Включить все", вам будет предложено подтвердить выбор. Вы также узнаете, зависит ли эта функция от другой функции или требуется GitHub Advanced Security. Дополнительные сведения см. в разделе Управление параметрами безопасности и анализа для организации.

Включение функции для выбора репозиториев

В некоторых случаях лучше определить выбор репозиториев, требующих функции, а затем включить функцию только для этих репозиториев.

Если вы не уверены в влиянии функции, вы можете протестировать эту функцию на ограниченном выборе репозиториев, прежде чем зафиксировать функцию для всех репозиториев, или вам может потребоваться постепенно развернуть эту функцию на нескольких этапах. Вы также можете знать, что для некоторых репозиториев в организации требуется другой набор функций, отличных от других.

Вы можете использовать представление "Покрытие безопасности", чтобы определить репозитории, требующие определенной функции, а затем включить функцию для этих репозиториев. Ниже описано, как найти представление "Покрытие безопасности".

1. На GitHubперейдите на главную страницу организации.

2. Под названием вашей организации нажмите вкладку Security .

3. На боковой панели щелкните Покрытие.

В этом представлении можно установить флажки для выбора определенных репозиториев или использовать панель поиска для поиска репозиториев, в которых требуется включить функцию. Например, можно использовать фильтры для идентификации репозиториев, где у определенной команды есть доступ на запись или администратор, или исключить репозитории, которые не требуют того же уровня защиты, например репозитории тестов или репозитории для внутренней документации. Затем можно включить функции для всех выбранных репозиториев одновременно. Дополнительные сведения см. в разделе Включение функций безопасности для нескольких репозиториев.

Если у вас есть ограниченное количество лицензий для GitHub Advanced Security, может потребоваться указать приоритет репозиториев, содержащих критически важные проекты, или иметь самые высокие частоты фиксации. См . раздел AUTOTITLE.

Включение функции для новых репозиториев

Вы можете включить функцию безопасности автоматически во всех новых репозиториях, созданных в вашей организации. Включение функций в новых репозиториях гарантирует, что они защищены немедленно и гарантирует, что все уязвимости в репозиториях будут идентифицированы как можно раньше. Тем не менее, чтобы использовать функции безопасности как можно эффективнее, вы можете рассмотреть каждый новый репозиторий по отдельности.

1. На GitHubперейдите на главную страницу организации.

2. Под именем организации щелкните Settings. Если вкладка "Параметры" не отображается, выберите раскрывающееся меню и нажмите кнопку "Параметры".

   

3. На левой боковой панели щелкните Code security and analysis.

4. Под именем функции выберите параметр автоматического включения функции в применимых будущих репозиториях.

   

Мониторинг влияния функций безопасности

Если вы включили функцию, вы должны взаимодействовать с администраторами репозитория и участниками в организации, чтобы оценить влияние этой функции. Может потребоваться изменить конфигурацию некоторых функций на уровне репозитория или повторно определить распределение функций безопасности в организации. Вы также должны отслеживать оповещения системы безопасности, создаваемые функцией, и ответы участников на эти оповещения.

Общие сведения о безопасности можно использовать для просмотра групп и репозиториев, затронутых оповещениями системы безопасности, с разбивкой оповещений по серьезности. Дополнительные сведения см. в разделе Оценка риска безопасности кода.

Общие сведения о безопасности также содержат панель мониторинга, в которой можно изучить высокоуровневые тенденции и метрики, чтобы получить представление о ландшафте безопасности вашей организации. Дополнительные сведения см. в разделе Просмотр аналитических сведений о безопасности.

Вы можете использовать различные средства для мониторинга действий, выполняемых членами вашей организации в ответ на оповещения системы безопасности. Дополнительные сведения см. в разделе Аудит оповещений системы безопасности.

Следующие шаги

Чтобы помочь пользователям сообщать об уязвимостях системы безопасности, можно создать политику безопасности по умолчанию, которая будет отображаться в любой из общедоступных репозиториев вашей организации, которые не имеют собственной политики безопасности. Дополнительные сведения см. в разделе Создание файла работоспособности сообщества по умолчанию..

После установки безопасности организации может потребоваться запретить пользователям изменять параметры безопасности в репозитории. Владелец предприятия может запретить администраторам репозитория включить или отключить функции в репозитории. Дополнительные сведения см. в разделе Применение политик безопасности кода и анализа для вашего предприятия.

Если вы используете GitHub Actions, можно использовать функции безопасности GitHub, чтобы повысить безопасность рабочих процессов. Дополнительные сведения см. в разделе Справочник по безопасному использованию.