Að læra hvernig á að búa til grein í GitHub er fyrsta skrefið. Hins vegar er jafn mikilvægt fyrir allar greinar að ná góðum tökum á því hvernig á að sameina greinar í GitHub á öruggan hátt. GitHub vinnuflæði. Í þessari færslu munum við leiða þig í gegnum allt ferlið, byrjandi á hvernig á að búa til útibú í GitHub og svo sýna þér hvernig á að sameina greinar í GitHub á öruggan hátt. Við munum einnig fjalla um hvernig á að hætta við sameiningu ef þú finnur einhver vandamál og að lokum hvernig Xygeni getur hjálpað þér að greina öll vandamál áður en þau komast inn í aðalgreinina þína.
Við skulum fara í gegnum það skref fyrir skref.
1. Hvernig á að búa til útibú í GitHub á réttan hátt
Sérhver örugg vinnuflæði hefst þegar þú býrð til grein í GitHub. Það gerir forriturum kleift að einangra eiginleika, lagfæringar eða tilraunir án þess að hafa áhrif á framleiðslukóðann.
Til að búa til grein í GitHub:
1. Farðu í geymsluna þína
2. Smelltu á fellivalmyndina fyrir útibúaval
3. Sláðu inn nafn nýju útibúsins
4. smellur Búa til grein
Héðan er nýja útibúið þitt tilbúið til notkunar. Þú getur nú ýtt kóða, unnið saman að breytingum og að lokum opnað pull requestÞó að þetta sé einföld aðgerð á GitHub, þá undirbýr hún grunninn að öruggri þróun.
Mikilvægt er að í hvert skipti sem þú býrð til grein í GitHub ætti hún að vera hluti af endurteknu og vernduðu vinnuflæði.
2. Skannaðu Pull Requests Sjálfkrafa áður en þú sameinar
Þegar þú býrð til útibú í GitHub og undirbýrð yfirferð, er næsta skref að skilja hvernig á að sameina útibú í GitHub á öruggan hátt. Hvert útibú á GitHub ætti að virkja sjálfvirkar athuganir. En áður en sameinað er er nauðsynlegt að... staðfesta að Kóðinn kynnir ekki veikleika. Einn óöruggur commit getur afhjúpað umsókn þína, leak secrets, eða brjóta niður mikilvæga innviði.
Að sameina kóða við aðalgreinina þína er mikil áhrifamikil aðgerð. Án viðeigandi eftirlits getur það leitt til alvarlegra afleiðinga eins og:
- Zero-day varnarleysi að renna í framleiðslu
- Þekkt CVEs kynnt í gegnum opna hugbúnaðarpakka
- Harðkóða leyndarmál ýtt í geymsluna
- Rangstillingar innviða sem veikja varnir þínar
- Illgjarn eða óvirkur kóði að komast inn í gegnum ósjálfstæði
Þetta er þar sem Xygeni skiptir raunverulegu máli
Með því að nota GitHub aðgerðir, þú getur kveikt sjálfvirkar Xygeni skannanir í hvert skipti sem forritari opnar pull request í verndaða grein. Vernduð grein í GitHub er sú sem krefst sérstakra athugana eða samþykkis áður en breytingum er leyft að sameinast.
Xygeni greinir nýjasta framkvæmdin á pull request workflow til að staðfesta öryggisstöðu fyrirhugaðra breytinga. Þetta felur í sér að athuga hvort vandamál í kóðanum, ósjálfstæði, leyndarmálum og CI/CD stillingarEkki er farið yfir öll greinina aftur, en nýjasta niðurstaða vinnuflæðisins er notuð til að framfylgja stefnum og loka fyrir óöruggar sameiningar.
Þessar skannanir staðfesta að kóðinn sé öruggur og tilbúinn til framleiðslu. Þær greina:
- Kóða veikleikar (SAST)
- Öryggislausir opnir hugbúnaðarpakkar (SCA)
- Harðkóða leyndarmál
- IaC rangar stillingar
- Hugsanleg spilliforrit
Sameining þessar athuganir snemma tryggja að í hvert skipti sem þú býrð til grein í GitHub og býrð til sameiningar, þá gerir þú það með fullt yfirsýn og stjórn.
Hér er einfölduð uppsetning:
on: pull_request: branches: [ main ] jobs: xygeni-scan: runs-on: ubuntu-latest steps: - name: Checkout uses: actions/checkout@v3 - name: Xygeni Scanner uses: xygeni/xygeni-action@3.2.0 with: token: ${{ secrets.XYGENI_TOKEN }}3. Lokaðu fyrir óöruggar sameiningar með Guardrails
Guardrails, vertu viss um að þegar þú býrð til grein í GitHub eða reynir að sameina greinar í GitHub, þá berist aðeins öruggar breytingar til aðalgreinarinnar í GitHub uppsetningunni þinni. Xygeni gefur þér fulla stjórn á því sem er sameinaðÞú getur skilgreint forstillingucisReglur sniðnar að öryggisstefnu þinni og áhættuþoli. Til dæmis:
- Loka ef mikilvægt leyndarmál finnst (t.d. AWS lyklar, tákn)
- Mistókst byggingin ef að nýr hááhættuþáttur opinn hugbúnaðarpakki kynntur
- Hafna pull requests að breyta viðkvæmum slóðum eins
.github/workflows/,infrastructure/, eðasecrets.env - Koma í veg fyrir sameiningar ef að niðurfærsla endurnýjar þekktur Veikleika
- Lokað CI/CD breytingar á stillingum nema rétt merkt
- Stöðva sameiningar ef SAST greinir háan eða mikilvæg mál
- Beita strangari Guardrails á framleiðslugreinum en viðhalda sveigjanleika í þróun
Þessar reglur virka eins og sjálfvirkir hliðverðir. Þær hjálpa teyminu þínu að sameina aðeins það sem er öruggt, án óvæntra uppákoma, án handvirkra yfirferða og án slökkvistarfa á síðustu stundu.
Dæmi um reglu um handrið:
guardrail block_critical_secrets on secrets when severity = critical then @fail()Sjónræn endurgjöf í Dashboard
Til að tryggja fulla sýnileika sýnir Xygeni niðurstöður nýjustu mats á stöðu Guardrail.
- Í fyrsta lagi, grænt tákn þýðir að allar reglur hafa verið samþykktar.
- Aftur á móti, rautt tákn gefur til kynna að eitt eða fleiri skilyrði Guardrail hafi verið brotin.
Þar af leiðandi fá bæði forritarar og öryggisteymi tafarlausa innsýn í hvers vegna sameining var lokuð, án þess að þurfa að kafa ofan í CI-skrár.
Raunverulegt dæmi frá Dashboard:
Til dæmis, segjum að geymsla hafi engar verndaðar greinar, sem er algeng misskilningur sem gerir forriturum kleift að ýta á ... commitán staðfestingar. Það er alvarleg áhætta.
Xygeni greinir þetta sjálfkrafa og merkir það sem undirritaður_commits mál samkvæmt CI/CD flokkur. Hinn dashboard Hápunktar:
- Alvarleiki: Hár
- Tegund: Undirritaður Commits
- Útskýring: Geymslan hefur engar verndaðar greinar
- Staða: Opna
Þess vegna, með þessari samhengisríku endurgjöf, geta teymi fljótt greint áhættuna, skilið áhrif hennar og gripið til leiðréttingaraðgerða, allt frá Xygeni notendaviðmótinu.
Aðlaga Framfylgdarhegðun
Þú hefur alltaf stjórn. Veldu hversu strangt Guardrails ætti að vera:
--fail-on=critical: Blokkir sameinast aðeins við alvarlegar niðurstöður--never-fail: Hlaupa Guardrails í þurrkeyrsluham til að prófa stefnur áður en þær eru framfylgt
Svo næst þegar þú býrð til útibú í GitHub, þá Guardrails eru þegar til staðar, að vernda þína pipeline og framfylgja stefnu þinni sjálfkrafa.
Hvernig veit ég hvort GitHub app er öruggt?
Lærðu hvernig á að meta GitHub forrit áður en þau eru sett upp.
4. Hætta við sameiningu í GitHub sjálfkrafa þegar áhætta finnst
Ef áhætta greinist er sameiningunni hætt. Þessi öryggisráðstöfun verndar öll útibúsverkefni á GitHub og framfylgir bestu starfsvenjum um hvernig á að sameina útibú á GitHub.
Xygeni samþættist beint við notendaviðmót GitHub. Þegar áhætta finnst:
- GitHub sýnir að athugunin mistókst
- Vernd GitHub kemur í veg fyrir sameininguna
- Sameiningarröðin sleppir óöruggum kóða
Hvort sem það er leyndarmál, CVE eða hættulegt CI/CD mynstrið, niðurstaðan er sú sama: Sameining er hætt í GitHub og merkt til skoðunar.
Þú getur einnig skoðað ítarlegar niðurstöður í Xygeni:
- Öryggisstaða hverrar útibús
- Af hverju sameining var lokuð
- Heill skönnunarferill
- Staða vegriðs sýnd með grænum (staðist) eða rauðum (fallist) táknum á verkefnasíðunni
Þessi sjónræna endurgjöf auðveldar forriturum og öryggisteymum að grípa til aðgerða af öryggi. Og þegar þú þarft ítarlegri samhengi tengist hvert vandamál skjölun með alvarleika, merkjum, staðsetningu og leiðbeiningum um úrbætur.
Tldr sameina aðeins það sem er öruggt
Til að draga saman, svona er hægt að sameina á öruggan hátt eftir að þú hefur búið til grein í GitHub:
- Búa til grein í GitHub í gegnum notendaviðmótið
- Virkjaðu sjálfvirkar skannanir með hverjum pull request með Xygeni
- Lokaðu óöruggum sameiningum með því að nota Guardrails
- Notið endurskoðunarreglur á netþjónshliðinni fyrir dýpri stjórn
- Hætta við sameiningu í GitHub þegar eitthvað mistekst
- Sjáðu allar niðurstöður í Xygeni dashboard
Fyrir frekari upplýsingar um bestu starfsvenjur varðandi verndun gagnasafna, lestu okkar Algengar spurningar um öryggi GitHub: Það sem allir forritarar ættu að vita.
Þó að sameining sé grunnaðgerð krefst öruggrar framkvæmdar raunverulegrar yfirsýnar og sjálfvirkni. Með Xygeni sameinarðu ekki bara kóða, heldur einnig traust.
Verndaðu allar GitHub greinar með trausti
Eitt vanmetið mál í pull request geta ógnað aðalútibúi þínu. Hefðbundnir skannarar virka oft of seint, missa af mikilvægum áhættuþáttum eða ná ekki að framfylgja marktækum reglum.
Þess vegna tekur það meira en bara að skanna að vernda GitHub útibúin þín.
Xygeni veitir raunverulega framfylgd. Þegar pull request miðar á verndaða grein, Xygeni greinir nýjustu keyrslu þína CI/CD vinnuflæði. Það skannar ekki alla greinina aftur. Í staðinn metur það nýjustu niðurstöðurnar til að athuga hvort öryggisvandamál séu í kóða, ósjálfstæði, leyndarmálum og stillingum vinnuflæðis. Þú færð ekki bara viðvörun. Þú ert verndaður.
Hvað gerir það öðruvísi:
- Full samhengisstaðfesting: Guardrails framfylgja stefnu með því að nota ríkt samhengi eins og alvarleika, nýtanleika og greinarlýsigögn.
- Innbyggð GitHub samþætting: Allt frá skönnun til framfylgdar keyrir innbyggt í GitHub vinnuflæðunum þínum, án þess að þörf sé á sérsniðnum forskriftum eða límkóða.
- Endurskoðanir á netþjóni: Netþjónsmegin Guardrails staðfesta niðurstöðurnar eftir upphleðslu, bæta við öðru stjórnlagi utan við pipeline.
Í stað þess að reiða sig á CI-uppsetninguna þína til að ná öllu, notar Xygeni sjálfvirka, stefnumiðaða afritun.cisjónir áður en nokkuð nær aðalgreininni þinni.
Þó að sameining sé grunnaðgerð krefst öruggrar framkvæmdar raunverulegs yfirsýnar og sjálfvirkni. Með Xygeni verndarðu ekki bara geymslurnar þínar, heldur verndarðu allar greinar á GitHub af öryggi.
