Amparà à creà una branca in GitHub hè u primu passu. Tuttavia, ammaestrà cumu fusionà e branche in GitHub in modu sicuru hè altrettantu criticu per ogni branca. GitHub flussu di travagliu. Dunque, in questu post, vi guideremu per tuttu u prucessu, cuminciendu cù cumu creà una filiale in GitHub è dopu ti mustra cumu fusionà e branche in GitHub in modu sicuru. Copriremu ancu cumu annullà una fusione se truvate qualchì prublema, è infine, cumu Xygeni pò aiutà à rilevà ogni prublema prima ch'ellu entri in a vostra branca principale.
Andemu à traversu passu à passu.
1. Cumu creà una filiale in GitHub in u modu ghjustu
Ogni flussu di travagliu sicuru principia quandu create una branca in GitHub. Permette à i sviluppatori d'isolà funzionalità, correzioni o esperimenti senza influenzà u codice di pruduzzione.
Per creà una filiale in GitHub:
1. Navigate à u vostru repositoriu
2. Cliccate nant'à u menù a tendina di u selezziunatore di rami
3. Scrivite u nome di a vostra nova filiale
4. Cliccate Creà una filiale
Da quì, a vostra nova filiale hè pronta à esse aduprata. Avà pudete spinghje u codice, collaborà à i cambiamenti è infine apre una pull requestAncu s'ellu si tratta di un'azione basica di GitHub, prepara a strada per un sviluppu sicuru.
Impurtantemente, ogni volta chì create una filiale in GitHub, deve fà parte di un flussu di travagliu ripetibile è prutettu.
2. Scansà Pull Requests Automaticamente prima di a fusione
Quandu create una branca in GitHub è vi preparate per a revisione, u prossimu passu hè di capisce cumu fusionà e branche in GitHub in modu sicuru. Ogni push di branca GitHub deve attivà cuntrolli automatizati. Ma prima di a fusione, hè essenziale verificate chì U codice ùn introduce micca vulnerabilità. Un solu periculosu commit pò espone a vostra applicazione, leak secrets, o rompe l'infrastruttura critica.
A fusione di u codice in a vostra branca principale hè un'operazione di grande impattu. Senza cuntrolli adatti in piazza, pò purtà à cunsequenze gravi cum'è:
- Vulnerabilità di u ghjornu zero scivulà in pruduzzione
- Cunnisciutu CVE introduttu per mezu di pacchetti open source
- Sicreti codificati in modu duru spintu à u repositoriu
- Configurazioni incorrette di l'infrastruttura chì indebuliscenu e vostre difese
- Codice maliziosu o manomessu entrendu per via di dipendenze
Eccu induve Xygeni face una vera differenza
Usendu Azioni di GitHub, pudete scatenà scansioni Xygeni automatizate ogni volta chì un sviluppatore apre un pull request in una branca prutetta. Una branca prutetta in GitHub hè una chì richiede cuntrolli o appruvazioni specifiche prima chì i cambiamenti sianu autorizati à fusionassi.
Xygeni analizza u l'ultima esecuzione di u pull request Flussu di travagliu per validà a postura di sicurezza di i cambiamenti pruposti. Questu include a verificazione di prublemi in u codice, dipendenze, sicreti è CI/CD cunfigurazioniA branca sana ùn hè micca scansionata di novu, ma u risultatu di u flussu di travagliu più recente hè adupratu per applicà e pulitiche è bluccà e fusioni micca sicure.
Queste scansioni validanu chì u codice hè sicuru è prontu per a pruduzzione. Rilevanu:
- Vulnerabilità di u codice (SAST)
- Pacchetti open source vulnerabili (SCA)
- Sicreti codificati in modu duru
- IaC cunfigurazioni sbagliate
- Malware putenziale
Integrà sti cuntrolli anticipati assicuranu chì ogni volta chì create una branca in GitHub è preparate à fusionà, a fate cù piena visibilità è cuntrollu.
Eccu una cunfigurazione simplificata:
on: pull_request: branches: [ main ] jobs: xygeni-scan: runs-on: ubuntu-latest steps: - name: Checkout uses: actions/checkout@v3 - name: Xygeni Scanner uses: xygeni/xygeni-action@3.2.0 with: token: ${{ secrets.XYGENI_TOKEN }}3. Bluccà e fusioni insicure cù Guardrails
Guardrails, assicuratevi chì quandu create una branca in GitHub o pruvate à fusionà e branche in GitHub, solu i cambiamenti sicuri ghjunghjenu à a cunfigurazione di a vostra branca principale GitHub. Xygeni vi dà cuntrollu tutale di ciò chì si fusionaPudete definisce precise regule adattate à e vostre pulitiche di sicurezza è a vostra tolleranza à u risicu. Per esempiu:
- Bluccà s'ellu hè un sicretu criticu hè truvatu (per esempiu, chjave AWS, gettoni)
- Fallisce a custruzzione si a novu à altu risicu u pacchettu open source hè statu introduttu
- Rèduce pull requests chì mudificà i percorsi sensibili cum'è
.github/workflows/,infrastructure/, osecrets.env - Impedisce e fusioni si a downgrade reintroduce cunnisciutu vulnerabili
- Bloccu CI/CD cambiamenti di cunfigurazione salvu chì ùn sia currettamente etichettatu
- Fermate e fusioni se SAST rileva alti o prublemi critichi
- Applicà più strettu Guardrails nantu à i rami di pruduzzione mantenendu a flessibilità in u sviluppu
Queste regule agiscenu cum'è guardiani automatizati. Aiutanu a vostra squadra à fusionà solu ciò chì hè sicuru, senza sorprese, senza revisioni manuali, senza interventi di l'ultimu minutu.
Esempiu di regula di Guardrail:
guardrail block_critical_secrets on secrets when severity = critical then @fail()Feedback visuale in u Dashboard
Per assicurà una visibilità cumpleta, Xygeni mostra u risultatu di l'ultima valutazione di u statu di Guardrail.
- Nanzu tuttu, un'icona verde significa chì tutte e pulitiche sò state appruvate.
- Invece, un'icona rossa segnala chì una o più cundizioni di Guardrail sò state viulate.
Cusì, sia i sviluppatori sia e squadre di sicurezza ottenenu una visione immediata di u mutivu per chì una fusione hè stata bluccata, senza scavà in i logs CI.
Esempiu veru da u Dashboard:
Per esempiu, dicemu chì un repositoriu ùn hà micca rami prutetti, una cunfigurazione sbagliata cumuna chì permette à i sviluppatori di spinghje commits senza verificazione. Hè un risicu seriu.
Xygeni rileva automaticamente è segnala questu cum'è un firmatu_commits prublema sottu à u CI/CD categuria. U dashboard punti culminanti:
- Severità: High
- Type: Firmatu Commits
- Spiegazione: U repositoriu ùn hà micca rami prutetti
- Status: Open
Dunque, cù questu feedback riccu di cuntestu, e squadre ponu identificà rapidamente u risicu, capisce u so impattu è piglià azzioni correttive, tuttu da l'interfaccia utente Xygeni.
persunalizà Cumportamentu di l'applicazione
Sì sempre in cuntrollu. Scegli quantu strettu Guardrails duveria esse:
--fail-on=critical: Fusioni di blocchi solu in casu di risultati gravi--never-fail: Run Guardrails in modu di prova per pruvà e pulitiche prima di applicà
Cusì a prossima volta chì create una filiale in GitHub, u vostru Guardrails sò digià quì, pruteggendu u vostru pipeline è applicà e vostre pulitiche automaticamente.
Cumu possu sapè se una applicazione GitHub hè sicura?
Amparate cumu valutà l'applicazioni GitHub prima di installalli.
4. Annulla a fusione in GitHub automaticamente quandu si trovanu risichi
Sè i risichi sò rilevati, a fusione hè annullata. Questa prutezzione prutege ogni prughjettu GitHub di filiale è applica e migliori pratiche nantu à cumu fusionà e filiali in GitHub.
Xygeni s'integra direttamente in l'interfaccia d'utilizatore di GitHub. Quandu si trova un risicu:
- GitHub mostra a verificazione cum'è fallita
- E prutezioni di GitHub impediscenu a fusione
- A coda di fusione salta u codice micca sicuru
Ch'ellu sia un sicretu, un CVE, o periculosu CI/CD mudellu, u risultatu hè u listessu: u A fusione hè annullata in GitHub è segnalatu per a revisione.
Pudete ancu vede i risultati dettagliati in Xygeni:
- U statutu di sicurezza di ogni filiale
- Perchè una fusione hè stata bluccata
- Storia cumpleta di scansione
- U statu di a barriera hè mostratu per mezu di icone verdi (passatu) o rosse (fallitu) in a pagina di u prugettu
Stu feedback visuale facilita à i sviluppatori è à e squadre di sicurezza di piglià azzioni cun fiducia. È quandu avete bisognu di un cuntestu più prufondu, ogni prublema hè ligatu à a ducumentazione cù a gravità, i tag, a situazione è e linee guida di mitigazione.
Tldr Merge Solu Ciò chì hè Sicuru
Per riassume, eccu cumu si pò fà una fusione sicura dopu avè creatu una branca in GitHub:
- Crea una filiale in GitHub attraversu l'interfaccia utente
- Attivate scansioni automatiche cù ogni pull request cù Xygeni
- Bluccà e fusioni micca sicure aduprendu Guardrails
- Aduprate e pulitiche di audit lato server per un cuntrollu più prufondu
- Annulla a fusione in GitHub quandu qualcosa fiasca
- Visualizà tutti i risultati in Xygeni dashboard
Per altre migliori pratiche nantu à a prutezzione di i repositori, leghjite u nostru FAQ di sicurezza di GitHub: Ciò chì ogni sviluppatore deve sapè.
Ancu s'è a fusione hè un'operazione basica, fà la in modu sicuru richiede una vera visibilità è automatizazione. Cù Xygeni, ùn si fusiona micca solu u codice, si fusiona a fiducia.
Prutegge ogni filiale di GitHub cun fiducia
Un unicu prublema trascuratu in un pull request pò compromette a vostra filiale principale. I scanner tradiziunali spessu funzionanu troppu tardi, mancanu risichi critichi, o ùn riescenu micca à applicà pulitiche significative.
Hè per quessa chì a prutezzione di e vostre branche GitHub richiede più cà una semplice scansione.
Xygeni furnisce una vera applicazione. Quandu a pull request s'ellu hà cum'è scopu una branca prutetta, Xygeni analizeghja l'ultima esecuzione di u vostru CI/CD flussu di travagliu. Ùn rianaliza micca tutta a branca. Invece, valuta i risultati più recenti per verificà i prublemi di sicurezza in u codice, e dipendenze, i sicreti è e cunfigurazioni di u flussu di travagliu. Ùn site micca solu avvisatu. Site prutettu.
Ciò chì a rende diversa:
- Validazione di u cuntestu cumpletu: Guardrails applicà a pulitica aduprendu un cuntestu riccu cum'è a gravità, l'exploitabilità è i metadati di e branche.
- Integrazione GitHub integrata: Tuttu, da a scansione à l'applicazione, funziona nativamente in i vostri flussi di travagliu GitHub, senza bisognu di script persunalizati o codice glue.
- Audit lato server: Latu di u servitore Guardrails validà i risultati dopu u caricamentu, aghjunghjendu un secondu livellu di cuntrollu fora di u pipeline.
Invece di fidà si di a vostra cunfigurazione CI per catturà tuttu, Xygeni applica una de automatizazione basata nantu à pulitiche.cisioni prima chì qualcosa ghjunghji à a vostra branca principale.
Ancu s'è a fusione hè un'operazione basica, fà la in modu sicuru richiede una vera visibilità è automatizazione. Cù Xygeni, ùn pruteggete micca solu i vostri repositori, pruteggete ogni branca GitHub cun fiducia.
