Phase 3 : Programmes pilotes

À propos des programmes pilotes

Nous vous recommandons d’identifier quelques projets ou équipes à impact élevé convenant à un déploiement pilote de GHAS. Cela permet à un groupe initial au sein de l’entreprise de se familiariser avec GHAS, et de créer une base solide pour GHAS avant de procéder à son déploiement dans le reste de l’entreprise.

Les étapes de cette phase vous aideront à activer GHAS dans votre entreprise, à commencer à utiliser ses fonctionnalités et à analyser les résultats. Si vous travaillez avec GitHub Professional Services, ils peuvent fournir une assistance supplémentaire par le biais de ce processus par le biais de sessions d’intégration, d’ateliers GHAS et de résolution des problèmes en fonction des besoins.

Avant de lancer vos projets pilotes, nous vous recommandons de planifier des réunions pour vos équipes, par exemple une réunion initiale, une analyse à mi-chemin et une session de clôture à la fin du pilote. Ces réunions vous aideront à apporter tous les ajustements nécessaires et à vous assurer que vos équipes sont préparées et en mesure de mener à bien le pilote.

Si vous n’avez pas encore activé GHAS pour votre GitHub Enterprise Server instance, consultez Activation des produits GitHub Advanced Security pour votre entreprise.

Pilotage de toutes les GitHub Advanced Security fonctionnalités

Vous pouvez rapidement activer les fonctionnalités de sécurité à grande échelle avec un security configuration, une collection de paramètres d’activation de sécurité que vous pouvez appliquer aux référentiels d’une organisation. Vous pouvez personnaliser les fonctionnalités de Advanced Security au niveau de l’organisation avec global settings. Consultez À propos de l'activation des fonctionnalités de sécurité à grande échelle.

Pilotage code scanning

Pour activer code scanning sur votre instance GitHub Enterprise Server, consultez Configuration de l’analyse de code pour votre appliance.

Vous pouvez configurer rapidement la configuration par défaut pour code scanning plusieurs référentiels d’une organisation à l’aide d’une vue d’ensemble de la sécurité. Pour plus d’informations, consultez « Définition de la configuration par défaut pour l’analyse du code à grande échelle ».

Vous pouvez également choisir d’activer code scanning sur tous les référentiels d’une organisation, mais nous vous recommandons de configurer code scanning sur un sous-ensemble de référentiels ayant un fort impact pour votre programme pilote.

Pour certains langages ou systèmes de génération, vous devrez peut-être utiliser une configuration avancée pour code scanning pour obtenir une couverture complète de votre codebase. Toutefois, la configuration avancée nécessite beaucoup plus d’efforts pour la configuration, la personnalisation et la gestion. Nous vous recommandons donc d’activer d’abord la configuration par défaut.

Si votre entreprise souhaite utiliser d’autres outils d’analyse de code tiers avec GitHubcode scanning, vous pouvez utiliser des actions pour exécuter ces outils dans GitHub. Vous pouvez également charger des résultats, générés par des outils tiers en tant que fichiers SARIF, vers code scanning. Pour plus d’informations, consultez « Intégrer à des outils existants ».

Pilotage secret scanning

          GitHub analyse les dépôts pour les types connus de secrets afin d’empêcher l’utilisation frauduleuse de secrets qui ont été commis accidentellement.

Pour activer l’analyse des secrets pour votre GitHub Enterprise Server instance, consultez Configuration de l’analyse de secrets pour votre appliance.

Vous devez activer la protection par push et secret scanning pour chaque projet pilote. Vous pouvez le faire avec un security configuration. Pour plus d’informations, consultez « Création d’une configuration de sécurité personnalisée ».

Si vous envisagez de configurer un lien vers une ressource dans le message qui s’affiche lorsqu’un développeur tente d’envoyer un secret bloqué, il serait judicieux de tester et de commencer à affiner les conseils que vous prévoyez de mettre à disposition.

Commencez à examiner l’activité à l’aide de la page des métriques de protection push dans la vue d’ensemble de la sécurité. Pour plus d’informations, consultez « Mesures de protection contre les opérations push d'analyse des secrets ».

Si vous avez compilé des modèles personnalisés spécifiques à votre entreprise, en particulier ceux liés aux projets pilotes secret scanning, vous pouvez les configurer. Pour plus d’informations, consultez « Définition de modèles personnalisés pour l’analyse des secrets ».

Pour savoir comment consulter et fermer les alertes pour les secrets archivés dans votre référentiel, consultez Gérer les alertes d’analyse des secrets.