Implementando o GitHub Advanced Security para Análise de Código

Visão Geral

O GitHub Advanced Security (GHAS) integra testes estáticos de segurança de aplicações baseados em CodeQL diretamente no fluxo de desenvolvimento do GitHub. O CodeQL trata o código como dados, permitindo uma análise semântica que identifica vulnerabilidades de segurança como injeção de SQL, scripting entre sites (XSS), estouros de buffer e falhas de autenticação com significativamente menos falsos positivos do que os scanners tradicionais de correspondência de padrões. O GHAS abrange análise de código, análise de segredos, revisão de dependências e alertas do Dependabot para fornecer uma postura de segurança abrangente para repositórios.

Quando Usar

• Ao implantar ou configurar a implementação de recursos de GitHub Advanced Security para análise de código em seu ambiente.
• Ao estabelecer controles de segurança alinhados a requisitos de conformidade.
• Ao construir ou melhorar a arquitetura de segurança para este domínio.
• Ao realizar avaliações de segurança que exigem esta implementação.

Pré-requisitos

• GitHub Enterprise Cloud ou GitHub Enterprise Server 3.0+ com licença GHAS.
• Permissões de administrador de repositório ou proprietário de organização.
• Familiaridade com a sintaxe de fluxo de trabalho do GitHub Actions (YAML).
• Linguagens suportadas: C/C++, C#, Go, Java/Kotlin, JavaScript/TypeScript, Python, Ruby, Swift.

Conceitos Principais

Mecanismo de Análise CodeQL

O CodeQL compila o código-fonte em um banco de dados consultável e, em seguida, executa consultas focadas em segurança contra esse banco de dados. Os conjuntos de consultas vêm com centenas de verificações mapeadas para identificadores CWE e cobrem os 10 principais do OWASP, os 25 principais do SANS e padrões de vulnerabilidade específicos da linguagem. Consultas personalizadas podem ser criadas usando a linguagem de consulta CodeQL (QL) para detectar antipadrões específicos da organização.

Configuração Padrão vs. Configuração Avançada

A Configuração Padrão habilita a análise de código com um único clique nas configurações de Segurança de Código do repositório. O GitHub determina automaticamente os idiomas presentes, seleciona os conjuntos de consultas apropriados e configura os gatilhos de análise. Essa abordagem não requer um arquivo de fluxo de trabalho e é ideal para integração rápida.

A Configuração Avançada gera um arquivo de fluxo de trabalho .github/workflows/codeql.yml que pode ser personalizado. As equipes controlam o agendamento, as matrizes de idiomas, os comandos de compilação para linguagens compiladas, pacotes de consulta adicionais e integração com produtores SARIF de terceiros. A configuração avançada é necessária quando etapas de compilação personalizadas, configurações de monorepo ou pacotes de consulta privados são necessários.

Implantação em Toda a Organização

Para empresas que gerenciam centenas de repositórios, o GHAS suporta a configuração da análise de código em escala usando a visão geral de segurança no nível da organização. Os administradores podem habilitar a configuração padrão em todos os repositórios elegíveis, definir configurações de segurança personalizadas e monitorar a adoção por meio do painel de cobertura de segurança.

Fluxo de Trabalho

Etapa 1 --- Habilitar GHAS na Organização

1. Navegue até Configurações da Organização > Segurança e análise de código.
2. Habilite o GitHub Advanced Security para todos os repositórios ou repositórios selecionados.
3. Confirme a alocação de assentos de licença (o GHAS é cobrado por commit ativo).

Etapa 2 --- Configurar Configuração Padrão para Vitórias Rápidas

1. Vá para Configurações do Repositório > Segurança de Código > Análise de Código.
2. Clique em "Configurar" na linha de análise CodeQL e selecione "Padrão".
3. Revise os idiomas detectados automaticamente e o conjunto de consultas (padrão ou estendido).
4. Clique em "Habilitar CodeQL" para ativar a análise em eventos de push e pull request.

Etapa 3 --- Configuração Avançada com Fluxo de Trabalho Personalizado

Crie .github/workflows/codeql-analysis.yml:

name: "Análise CodeQL"

on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]
  schedule:
    - cron: '30 2 * * 1'  # Semanalmente às segundas-feiras, 2:30 UTC

jobs:
  analyze:
    name: Analisar (${{ matrix.language }})
    runs-on: ubuntu-latest
    permissions:
      security-events: write
      contents: read
      actions: read

    strategy:
      fail-fast: false
      matrix:
        language: ['javascript-typescript', 'python', 'java-kotlin']

    steps:
      - name: Checkout do repositório
        uses: actions/checkout@v4

      - name: Inicializar CodeQL
        uses: github/codeql-action/init@v3
        with:
          languages: ${{ matrix.language }}
          queries: +security-extended,security-and-quality
          # Para linguagens compiladas, adicione comandos de compilação abaixo

      - name: Autobuild
        uses: github/codeql-action/autobuild@v3

      - name: Realizar Análise CodeQL
        uses: github/codeql-action/analyze@v3
        with:

…