GitHub הרחיבה את הערכות הסיכון של Code Security ושל Secret Risk כך שהן מציגות כעת אם כל ממצא נמצא במאגר שמוגדר כמוגן או במאגר שאינו מוגן. השינוי לא משנה את חומרת החולשה עצמה; הוא מוסיף הקשר תפעולי שעוזר להבין היכן כיסוי האבטחה עדיין חסר.
מה התווסף להערכת הסיכון
בדוח ההערכה מופיע כעת סטטוס ההגנה של המאגר לצד הממצאים. מנהלי ארגון ומנהלי אבטחה יכולים להריץ את ההערכה דרך Security > Assessments, ואז לזהות אילו סודות או חולשות נמצאים במאגרים שאינם מכוסים עדיין במדיניות ההגנה המתאימה.
- תעדוף הרחבת כיסוי: אפשר להתחיל במאגרים שבהם נמצאו בעיות ושאינם מוגנים.
- הפרדה בין סיכון לכיסוי: סטטוס המאגר הוא הקשר נוסף, ולא תחליף לדירוג החומרה של הממצא.
- תמונה ארגונית: הדוח מרכז את הממצאים ואת מצב ההגנה במקום אחד.
מי יכול להשתמש בהערכה
לפי התיעוד של GitHub, הערכת הסיכון היא כלי בשירות עצמי ללא תשלום נוסף לארגונים בתוכניות Team ו-Enterprise. היא בוחנת עד 20 מאגרים פרטיים או פנימיים, שנבחרים בין היתר לפי פעילות commits ב-90 הימים האחרונים. ניתן להריץ הערכה מחדש אחת ל-90 יום, והרצה נעצרת לאחר שעה אם לא הושלמה.
הערכת Code Security יכולה להציג חולשות, חומרה וכמה מהן ניתנות לתיקון באמצעות Copilot Autofix. הערכת Secret Risk מתמקדת בסודות שנחשפו. GitHub מציינת שהצגת מצב ההגנה זמינה ב-Enterprise Cloud וב-Team, ושיכולת Secret Risk Assessment צפויה להגיע גם ל-GitHub Enterprise Server 3.24.
מה כדאי לעשות עכשיו
- להריץ הערכה ולייצא רשימה של ממצאים במאגרים לא מוגנים.
- להצליב את הרשימה עם רגישות המאגר, הרשאות הגישה וחשיפה לייצור.
- להרחיב בהדרגה Code Security או Secret Protection למאגרים בעלי הסיכון הגבוה ביותר.
- לתעד החלטות ולתזמן הערכה חוזרת לאחר השינויים.
מקורות
- GitHub Changelog — Security risk assessments include repository protection status
- GitHub Docs — About security risk assessment
קרדיט תמונה: Dan Nelson / Pexels. מקור: Pexels. רישיון Pexels מאפשר שימוש באתר, בסושיאל ובשיווק וכן עריכה. התמונה היא תמונת המחשה ואינה מעידה על חסות או קשר ל-GitHub.
