Az első lépés az, hogy megtanuljuk, hogyan hozhatunk létre ágakat a GitHub-ban. Azonban az ágak biztonságos egyesítésének elsajátítása a GitHub-ban ugyanolyan fontos minden ág esetében. GitHub munkafolyamat. Ebben a bejegyzésben végigvezetünk a teljes folyamaton, kezdve a hogyan lehet ágat létrehozni a GitHub-ban és aztán megmutatom neked Hogyan lehet ágakat egyesíteni a GitHub-ban? biztonságosan. Azt is tárgyaljuk, hogyan lehet megszakítani az összevonást, ha bármilyen problémát találunk, és végül, hogyan segíthet a Xygeni minden problémát észrevenni, mielőtt az bekerülne a fő ágba.
Nézzük végig lépésről lépésre.
1. Hogyan hozzunk létre egy ágat a GitHub-ban a helyes módon
Minden biztonságos munkafolyamat akkor kezdődik, amikor létrehozol egy ágat a GitHub-ban. Ez lehetővé teszi a fejlesztők számára, hogy elkülönítsék a funkciókat, javításokat vagy kísérleteket anélkül, hogy ez befolyásolná az éles kódot.
GitHub-ban egy ág létrehozásához:
1. Navigálj a tárházadhoz
2. Kattintson az ágválasztó legördülő menüre
3. Írja be az új fiók nevét
4. kettyenés Ág létrehozása
Innentől kezdve az új ágad készen áll a használatra. Most már feltöltheted a kódot, együttműködhetsz a változtatásokon, és végül megnyithatsz egy pull requestBár ez egy alapvető GitHub-művelet, megalapozza a biztonságos fejlesztést.
Fontos, hogy minden alkalommal, amikor létrehozol egy ágat a GitHub-ban, annak egy megismételhető és védett munkafolyamat részévé kell válnia.
2. Szkennelés Pull Requests Automatikusan az egyesítés előtt
Amikor létrehoz egy ágat a GitHubban és felkészül az ellenőrzésre, a következő lépés annak megértése, hogyan lehet biztonságosan egyesíteni az ágakat a GitHubban. Minden egyes GitHub-alapú ágküldésnek automatikus ellenőrzéseket kell indítania. Az egyesítés előtt azonban elengedhetetlen a következők elvégzése: ellenőrzése hogy a kód nem vezet be sebezhetőségeket. Egyetlen veszélyes commit közzéteheti az alkalmazását, leak secretvagy a kritikus infrastruktúrát feltörni.
A kód fő ágba való egyesítése nagy hatású művelet. Megfelelő ellenőrzések nélkül súlyos következményekkel járhat, például:
- Nulladik napi sebezhetőségek belecsúszik a termelésbe
- Ismert CVE-k nyílt forráskódú csomagokon keresztül bevezetve
- Hardcoded secrets a tárházba küldve
- Infrastruktúra-hibák ami gyengíti a védelmeidet
- Rosszindulatú vagy manipulált kód függőségeken keresztüli belépés
Itt hoz igazi különbséget a Xygeni
Segítségével GitHub-műveletek, kiválthatod automatizált Xygeni szkennelések valahányszor egy fejlesztő megnyit egy pull request egy védett ágba. A GitHubban a védett ág olyan, amelyhez speciális ellenőrzések vagy jóváhagyások szükségesek a módosítások egyesítése előtt.
Xygeni elemzi a a legutóbbi kivégzés pull request munkafolyamat a javasolt változtatások biztonsági helyzetének érvényesítése. Ez magában foglalja a következők ellenőrzését: a kódban, függőségekben, titkos kulcsokban és problémákban CI/CD konfigurációkA teljes ágat nem vizsgálja újra, de a legfrissebb munkafolyamat-eredményt használja a szabályzatok betartatására és a nem biztonságos egyesítések blokkolására.
Ezek a vizsgálatok ellenőrzik, hogy a kód biztonságos és éles üzembe helyezésre kész-e. A következőket észlelik:
- Kód sebezhetőségei (SAST)
- Sebezhető nyílt forráskódú csomagok (SCA)
- Hardcoded secrets
- IaC hibás konfigurációk
- Potenciális rosszindulatú programok
integrálása ezek az ellenőrzések korán biztosítják hogy minden alkalommal, amikor létrehozol egy ágat a GitHub-ban és előkészíted az egyesítést, azt a következővel tedd: teljes átláthatóság és kontroll.
Íme egy leegyszerűsített beállítás:
on: pull_request: branches: [ main ] jobs: xygeni-scan: runs-on: ubuntu-latest steps: - name: Checkout uses: actions/checkout@v3 - name: Xygeni Scanner uses: xygeni/xygeni-action@3.2.0 with: token: ${{ secrets.XYGENI_TOKEN }}3. Blokkolja a nem biztonságos egyesítéseket a következővel: Guardrails
Guardrails, ügyeljen arra, hogy amikor GitHub-ban hoz létre egy ágat, vagy megpróbálja egyesíteni az ágakat a GitHub-ban, csak a biztonságos változtatások érjék el a fő ág GitHub beállítását. A Xygeni biztosítja a következőket: teljes kontroll az egyesített tartalmak felett. Meghatározhatja az előfeltételeketcisAz Ön biztonsági szabályzataihoz és kockázattűréséhez igazított szabályok. Például:
- Blokkolás, ha kritikus titkos megtalálható (pl. AWS kulcsok, tokenek)
- A build sikertelen Ha egy új, magas kockázatú nyílt forráskódú csomagot mutatnak be
- Elutasít pull requests hogy érzékeny útvonalak módosítása mint
.github/workflows/,infrastructure/vagysecrets.env - Egyesítések megakadályozása Ha egy leminősítés újra bevezeti ismert réseket
- Blokk CI/CD konfigurációs változtatások kivéve, ha megfelelően van címkézve
- Összevonások leállítása, ha SAST magas vagy kritikus kérdések
- Szigorúbb alkalmazás Guardrails a termelési ágakon miközben megőrzi a fejlesztés rugalmasságát
Ezek a szabályok automatizált kapuőrként működnek. Segítenek a csapatodnak csak a biztonságos elemek egyesítésében, meglepetések, manuális ellenőrzések és az utolsó pillanatban történő tűzoltás nélkül.
Példa korlátszabályra:
guardrail block_critical_secrets on secrets when severity = critical then @fail()Vizuális visszajelzés a Dashboard
A teljes láthatóság biztosítása érdekében a Xygeni a korlát állapotának legfrissebb értékelésének eredményét mutatja.
- Először is, a zöld ikon azt jelenti, hogy minden szabályzat sikeresen átment.
- Ellentétben, egy piros ikon jelzi, hogy egy vagy több korlátfeltétel sérült.
Ennek eredményeként mind a fejlesztők, mind a biztonsági csapatok azonnal betekintést nyerhetnek abba, hogy miért blokkolták az egyesítést, anélkül, hogy a konfigurációs konfiguráció naplóiba kellene ásniuk magukat.
Valódi példa a Dashboard:
Például tegyük fel, hogy egy adattárnak nincsenek védett ágai, ami egy gyakori hibás konfiguráció, és lehetővé teszi a fejlesztők számára, hogy... commitellenőrzés nélkül. Ez komoly kockázatot jelent.
A Xygeni automatikusan felismeri és megjelöli ezt egy aláírt_commits kérdés a CI/CD kategória. A dashboard kiemeli:
- A súlyosság: Magas
- Típus: aláírt Commits
- Magyarázat: A tárháznak nincsenek védett ágai
- Állapot: Nyisd ki
Így a kontextusgazdag visszajelzés segítségével a csapatok gyorsan azonosíthatják a kockázatot, megérthetik annak hatását, és korrekciós intézkedéseket tehetnek, mindezt a Xygeni felhasználói felületéről.
Testreszabás Végrehajtási magatartás
Mindig te irányítasz. Válaszd ki, mennyire szigorú Guardrails kellene:
--fail-on=critical: Csak súlyos megállapítások esetén blokkolja az egyesítéseket--never-fail: futás Guardrails próbaüzem módban a szabályzatok tesztelésére a betartatás előtt
Tehát legközelebb, amikor létrehozol egy ágat a GitHub-ban, a Guardrails már ott vannak, védik a tiédet pipeline és automatikusan érvényesíti a szabályzatait.
Honnan tudhatom, hogy egy GitHub alkalmazás biztonságos?
Ismerd meg, hogyan értékelheted a GitHub alkalmazásokat a telepítés előtt.
4. Az egyesítés automatikus megszakítása a GitHubban, ha kockázatokat találunk
Kockázatok észlelése esetén az egyesítést megszakítják. Ez a védelmi intézkedés minden GitHub-projekt ágát védi, és betartatja a GitHub-ban lévő ágak egyesítésére vonatkozó ajánlott gyakorlatokat.
A Xygeni közvetlenül integrálódik a GitHub felhasználói felületébe. Kockázat észlelésekor:
- A GitHub sikertelenként mutatja az ellenőrzést
- A GitHub védelme megakadályozza az egyesítést
- Az egyesítési sor kihagyja a nem biztonságos kódot
Legyen szó akár titkos, CVE-támadásról, vagy veszélyes CI/CD mintázat, az eredmény ugyanaz: a Az egyesítés megszakítva a GitHub-ban és felülvizsgálatra jelölve.
A részletes eredményeket a Xygeniben is megtekintheti:
- Az egyes ágak biztonsági állapota
- Miért blokkolták az egyesítést
- Teljes szkennelési előzmények
- A korlát állapotát zöld (sikeres) vagy piros (sikertelen) ikonok jelzik a projektoldalon
Ez a vizuális visszajelzés megkönnyíti a fejlesztők és a biztonsági csapatok számára a magabiztos cselekvést. És amikor mélyebb kontextusra van szükség, minden probléma dokumentációhoz kapcsolódik, amely tartalmazza a súlyosságot, a címkéket, a helyet és az enyhítési útmutatót.
Csak a biztonságos Tldr egyesítése
Összefoglalva, a GitHubban létrehozott ágak biztonságos egyesítésének módja:
- GitHubon ág létrehozása a felhasználói felületen keresztül
- Automatikus szkennelés indítása minden pull request Xygeni-vel
- Nem biztonságos egyesítések blokkolása a következővel: Guardrails
- Használjon szerveroldali auditszabályzatokat a mélyebb kontroll érdekében
- Egyesítés megszakítása a GitHubban, ha valami nem sikerül
- Az összes eredmény megjelenítése Xygeni-ben dashboard
A tárházvédelemmel kapcsolatos további legjobb gyakorlatokért olvassa el a következőt: GitHub biztonsági GYIK: Amit minden fejlesztőnek tudnia kell.
Bár az egyesítés egy alapvető művelet, biztonságos végrehajtása valódi láthatóságot és automatizálást igényel. A Xygenivel nem csak kódot egyesítesz, hanem bizalmat is.
Védje meg minden GitHub fiókját bizalommal
Egyetlen figyelmen kívül hagyott probléma egy pull request veszélyeztetheti a fő ágát. A hagyományos szkennerek gyakran túl későn futnak, nem veszik észre a kritikus kockázatokat, vagy nem érvényesítik az érdemi szabályzatokat.
Ezért a GitHub ágak védelme többet igényel, mint pusztán szkennelést.
A Xygeni valódi végrehajtást biztosít. Amikor egy pull request Ha egy védett ágat céloz meg, a Xygeni elemzi a legutóbbi végrehajtást CI/CD munkafolyamat. Nem vizsgálja át újra a teljes ágat. Ehelyett a legfrissebb eredményeket értékeli ki, hogy biztonsági problémákat keressen a kódban, a függőségekben, a titkos kódokban és a munkafolyamat-konfigurációkban. Nem csak riasztást kap. Védelmet élvez.
Mitől más:
- Teljes kontextusú validáció: Guardrails a szabályzatok betartatása gazdag kontextusok, például a súlyosság, a kihasználhatóság és az ág metaadatainak használatával.
- Beépített GitHub integráció: A szkenneléstől a végrehajtásig minden natívan fut a GitHub munkafolyamatokon belül, egyéni szkriptek vagy ragasztókód nélkül.
- Szerveroldali auditok: Szerver oldal Guardrails feltöltés után validálja az eredményeket, egy második, a kontrollon kívüli réteget adva hozzá pipeline.
Ahelyett, hogy a CI-beállításaira hagyatkozna minden információ rögzítésében, a Xygeni automatizált, szabályzatalapú de-információkat alkalmaz.cisionokat, mielőtt bármi elérné a főágadat.
Bár az egyesítés egy alapvető művelet, biztonságos végrehajtása valódi láthatóságot és automatizálást igényel. A Xygenivel nemcsak a repóidat véded, hanem minden GitHub ágat is magabiztosan.
