Recursos de segurança do GitHub

Uma visão geral dos recursos de segurança do GitHub.

Neste artigo

Sobre GitHub os recursos de segurança

          GitHubOs recursos de segurança ajudam a manter seu código e segredos seguros em repositórios e em todas as organizações.
  • Alguns recursos estão disponíveis para todos os GitHub planos.
  • Recursos adicionais estão disponíveis para organizações em GitHub Team e GitHub Enterprise Cloud que compram um produto GitHub Advanced Security:
  • Além disso, vários GitHub Secret Protection recursos podem GitHub Code Security ser executados em repositórios públicos gratuitamente.

Disponível para todos os GitHub planos

Os recursos de segurança a seguir estão disponíveis para uso, independentemente do GitHub plano em que você está. Você não precisa comprar GitHub Secret Protection or GitHub Code Security para usar esses recursos.

A maioria desses recursos está disponível para repositórios públicos internos e privados. Alguns recursos estão disponíveis apenas para repositórios públicos.

Política de segurança

Facilite o acesso dos seus usuários para relatar confidencialmente vulnerabilidades de segurança que encontraram no seu repositório. Para saber mais, confira Adicionar uma política de segurança a um repositório.

Grafo de dependência

O gráfico de dependências permite explorar os ecossistemas e pacotes dos quais o repositório depende e os repositórios e pacotes que dependem do seu repositório.

Encontre o grafo de dependência na guia Insights do seu repositório. Para saber mais, confira Sobre o gráfico de dependências.

SBOM (lista de materiais de software)

Você pode exportar o grafo de dependência de seu repositório como uma SBOM (lista de materials de software) compatível com SPDX. Para saber mais, confira Como exportar uma lista de materiais de software para seu repositório.

GitHub Advisory Database

O GitHub Advisory Database contém uma lista selecionada de vulnerabilidades de segurança que você pode exibir, pesquisar e filtrar. Para saber mais, confira Como procurar avisos de segurança no GitHub Advisory Database.

          Dependabot alerts e atualizações de segurança

Ver alertas sobre dependências conhecidas por conter vulnerabilidades de segurança e escolher se deseja gerar pull requests para atualizar essas dependências automaticamente. Para saber mais, confira Sobre alertas do Dependabot e Sobre as atualizações de segurança do Dependabot.

Você também pode usar padrões pré-definidos Regras de triagem automática do Dependabot curados por GitHub para filtrar automaticamente uma quantidade substancial de falsos positivos.

Para obter uma visão geral dos diferentes recursos oferecidos pelo Dependabot e instruções sobre como começar, confira Guia de início rápido do Dependabot.

Dependabot malware alerts

No GitHub.com e GitHub Enterprise Server 3.22+, você pode visualizar alertas para dependências maliciosas em seu repositório. Consulte Alertas de malware do Dependabot.

Dependabot version updates

Use Dependabot para gerar solicitações de pull automaticamente para manter suas dependências atualizadas. Isso ajuda a reduzir a exposição a versões mais antigas de dependências. O uso de versões mais recentes facilita a aplicação de patches se as vulnerabilidades de segurança forem descobertas e também facilita Dependabot security updates a criação de solicitações de pull com êxito para atualizar dependências vulneráveis. Você também pode personalizar Dependabot version updates para simplificar a integração deles aos seus repositórios. Para saber mais, confira Sobre as atualizações da versão do Dependabot.

Avisos de segurança

Discuta em particular e corrija vulnerabilidades de segurança no código do seu repositório público. Em seguida, você pode publicar uma consultoria de segurança para alertar a sua comunidade sobre a vulnerabilidade e incentivar os integrantes da comunidade a atualizá-la. Para saber mais, confira Sobre os avisos de segurança do repositório.

Conjuntos de regras do repositório

Imponha padrões de código, segurança e conformidade consistentes entre branches e marcas. Para saber mais, confira Sobre os conjuntos de regras.

Atestados de artefatos

Crie garantias de procedência e integridade infalsificáveis para o software que você cria. Para saber mais, confira Usar atestados de artefatos para estabelecer a procedência de compilações.

Observação

Se você estiver em um plano GitHub Free, GitHub Pro, ou GitHub Team, os atestados de artefato só estarão disponíveis para repositórios públicos. Para usar atestados de artefato em repositórios privados ou internos, você deve estar em um GitHub Enterprise Cloud plano.

Alertas de verificação de segredo para parceiros

Quando GitHub detecta um segredo vazado em um repositório público ou um pacote npm público, GitHub informa ao provedor de serviços relevante que o segredo pode ser comprometido. Para obter detalhes dos segredos e provedores de serviços com suporte, confira Padrões de varredura de segredos com suporte.

Proteção por push para usuários

A proteção por push para usuários protege você automaticamente contra a confirmação acidental de segredos em repositórios públicos, independentemente de o próprio repositório ter secret scanning sido habilitado. A proteção por push para usuários está desabilitada por padrão, mas é possível desabilitar o recurso a qualquer momento por meio das configurações da sua conta pessoal. Para saber mais, confira Gerenciando a proteção por push para usuários.

Disponível com GitHub Secret Protection

Para contas em GitHub Team e GitHub Enterprise Cloud, você pode acessar recursos de segurança adicionais ao comprar GitHub Secret Protection.

          GitHub Secret Protection inclui recursos que ajudam você a detectar e evitar vazamentos secretos, como secret scanning e proteção por push.

Esses recursos estão disponíveis para todos os tipos de repositório. Alguns desses recursos estão disponíveis para repositórios públicos gratuitamente, o que significa que você não precisa comprar GitHub Secret Protection para habilitar o recurso em um repositório público.

Alertas de verificação secreta para usuários

Detectar automaticamente tokens ou credenciais que foram verificados em um repositório. Você pode visualizar alertas para quaisquer segredos que GitHub encontrar em seu código, na guia Security and quality do repositório, para saber quais tokens ou credenciais devem ser tratados como comprometidos. Para saber mais, confira Sobre alertas secretos de verificação.

Disponível para repositórios públicos por padrão.

Verificação de segredos do Copilot

A detecção genérica de segredos do Verificação de segredos do Copilot é uma expansão impulsionada por IA do secret scanning que identifica segredos não estruturados (senhas) no seu código-fonte e, em seguida, gera um alerta. Para saber mais, confira Detecção responsável de segredos genéricos com a varredura de segredos do Copilot.

Proteção por push

A proteção de push examina proativamente seu código e qualquer código de colaboradores do repositório em busca de segredos durante o processo de push e bloqueia o push se algum segredo é detectado. Se um colaborador burlar o bloco, GitHub cria um alerta. Para saber mais, confira Sobre a proteção por push.

Disponível para repositórios públicos por padrão.

Bypass delegado para proteção de push

O bypass delegado para proteção por push permite gerenciar quais indivíduos, papéis e equipes:

  • Pode ignorar a proteção por push
  • Estão isentos da proteção de push
  • Pode examinar solicitações de exceção de outros colaboradores

Para saber mais, confira Sobre o bypass delegado para proteção contra push.

Padrões personalizados

Você pode definir padrões personalizados para identificar segredos que não são detectados pelos padrões padrão com suporte secret scanning, como padrões internos à sua organização. Para saber mais, confira Definir padrões personalizados para a verificação de segredo.

Visão geral da segurança

A visão geral de segurança permite que você analise o cenário geral de segurança da sua organização, exiba tendências e outros insights e gerencie configurações de segurança, facilitando o monitoramento do status de segurança da sua organização e a identificação dos repositórios e das organizações de maior risco. Para saber mais, confira Sobre a visão geral de segurança.

Disponível com GitHub Code Security

Para contas em GitHub Team e GitHub Enterprise Cloud, você pode acessar recursos de segurança adicionais ao comprar GitHub Code Security.

          GitHub Code Security inclui recursos que ajudam você a encontrar e corrigir vulnerabilidades, como code scanning, recursos premium Dependabot e revisão de dependência.

Esses recursos estão disponíveis para todos os tipos de repositório. Alguns desses recursos estão disponíveis para repositórios públicos gratuitamente, o que significa que você não precisa comprar GitHub Code Security para habilitar o recurso em um repositório público.

Code scanning

Detectar automaticamente vulnerabilidades de segurança e erros de codificação em códigos novos ou modificados. São destacados os problemas potenciais, com informações detalhadas, o que permite que você corrija o código antes que seja mesclado no seu branch-padrão. Para saber mais, confira Sobre a varredura de código.

Disponível para repositórios públicos por padrão.

CodeQL CLI

Execute CodeQL processos localmente em projetos de software ou para gerar code scanning resultados para o envio para GitHub. Para saber mais, confira Sobre a CLI do CodeQL.

Disponível para repositórios públicos por padrão.

Autofixo do Copilot

Obtenha correções geradas automaticamente para code scanning alertas. Para saber mais, confira Uso responsável da Correção Automática do Copilot para verificação de código.

Disponível para repositórios públicos por padrão.

          Regras de triagem automática personalizadas para Dependabot

Ajudar a gerenciar em escala seus dados Dependabot alerts. Com regras de triagem automática personalizadas você tem controle sobre os alertas que deseja ignorar, adiar ou acionar uma atualização de segurança para. Dependabot. Para saber mais, confira Sobre alertas do Dependabot e Personalizando regras de triagem automática para priorizar alertas do Dependabot.

Análise de dependência

Mostre o impacto completo das alterações nas dependências e veja detalhes de qualquer versão vulnerável antes de fazer merge de um pull request. Para saber mais, confira Sobre a análise de dependência.

Disponível para repositórios públicos por padrão.

Campanhas de segurança

Corrija os alertas de segurança em escala criando campanhas de segurança e colaborando com desenvolvedores para reduzir sua lista de pendências de segurança. Para saber mais, confira Sobre as campanhas de segurança.

Visão geral da segurança

A visão geral de segurança permite que você analise o cenário geral de segurança da sua organização, exiba tendências e outros insights e gerencie configurações de segurança, facilitando o monitoramento do status de segurança da sua organização e a identificação dos repositórios e das organizações de maior risco. Para saber mais, confira Sobre a visão geral de segurança.

Leitura adicional

  •         [AUTOTITLE](/get-started/learning-about-github/githubs-plans)

  •         [AUTOTITLE](/get-started/learning-about-github/about-github-advanced-security)

  •         [AUTOTITLE](/get-started/learning-about-github/github-language-support)