Segurança da aplicação: encontrado significa corrigido

O GitHub Code Security capacita os desenvolvedores a proteger o código sem sacrificar a celeridade. Com análise integrada de estatística, correção alimentada por IA, verificação avançada de dependência e gerenciamento proativo de vulnerabilidades, as equipes podem detectar, priorizar e corrigir automaticamente problemas de segurança, tudo no fluxo de trabalho existente do GitHub, o que permite que elas entreguem software seguro mais rápido e com mais confiança.

O Copilot Autofix usa sugestões de código alimentadas por IA para corrigir automaticamente vulnerabilidades de segurança identificadas pelo CodeQL. Quando uma vulnerabilidade de segurança é detectada, o Copilot Autofix analisa o contexto de código, entende o problema de segurança subjacente e gera uma correção apropriada, contextualizada e precisa. Esse recurso preenche a lacuna entre a detecção e a correção de vulnerabilidades, permitindo que devs revisem e apliquem as correções sugeridas por IA diretamente no fluxo de trabalho.

Campanhas de segurança fornecem uma estrutura concebida para o planejamento, o rastreamento e a implementação de correções de segurança em vários repositórios e equipes, permitindo que você liquide sistematicamente a dívida de segurança. Com as campanhas de segurança, as equipes de segurança podem agrupar vulnerabilidades relacionadas, priorizar os esforços de correção, atribuir propriedade e monitorar o progresso por meio de um painel unificado. As campanhas de segurança podem ser organizadas por tipo de vulnerabilidade, iniciativa de segurança, requisito de conformidade ou qualquer outro agrupamento lógico para coordenar melhorias de segurança em escala.

A dependency review verifica pull requests quanto a dependências vulneráveis antes que elas sejam introduzidas em sua base de código. Ela avalia o impacto da segurança de alterações de dependências, identificando pacotes vulneráveis e seus níveis de severidade para evitar que haja o merge de problemas de segurança. Essa ferramenta mostra as alterações detalhadas das dependências comparando os branches head e base, destacando as dependências atualizadas, removidas e adicionadas junto com as vulnerabilidades conhecidas.

Os alertas do Dependabot agora oferecem um sistema Exploit Prediction Scoring System (EPSS) do Forum of Incident Response and Security Teams (FIRST) global, que ajuda você a avaliar melhor os riscos de vulnerabilidades. O EPSS ajuda as organizações a priorizar a correção de vulnerabilidades prevendo a probabilidade de uma vulnerabilidade ser explorada nos próximos 30 dias. Ele fornece uma pontuação de 0 a 1 (0 a 100%), junto com uma classificação de percentil para indicar como a vulnerabilidade se compara com as outras.

A avaliação de risco de segurança do código é uma avaliação gratuita que analisa os repositórios para identificar as potenciais vulnerabilidades a nível de código e realça as áreas em que o GitHub Code Security pode ajudar a aprimorar a postura de segurança. Saiba mais sobre avaliações de risco de segurança do GitHub.