Affichage et résolution des alertes de sécurité dans l’application GitHub Copilot

À propos de l’extension de sécurité GitHub

L’extension GitHub de sécurité vous permet de rechercher, comprendre et corriger code scanning les alertes sans quitter GitHub Copilot app. Vous pouvez également vérifier vos modifications locales afin de détecter de nouvelles vulnérabilités avant d’ouvrir une pull request.

Vous installez l’extension dans le cadre du github-security plug-in. L’extension fournit un espace de travail intitulé Sécurité, où vous pouvez gérer les alertes existantes et exécuter des révisions de sécurité locales en même temps que votre session.

Prerequisites

Pour utiliser l’extension de sécurité GitHub, vous avez besoin des éléments suivants :

• Un forfait Copilot et le GitHub Copilot app, connecté à votre compte GitHub. Consultez « Prise en main de l’application GitHub Copilot ».
• Autorisation d’installer le github-security plug-in sous les paramètres managés de votre entreprise, s’il est configuré.

Si vous utilisez Copilot Business ou Copilot Enterprise, la stratégie GitHub Copilot app doit être activée. Si l’accès à l’application ou au plug-in est bloqué, contactez votre administrateur.

Pour afficher les alertes existantes code scanning d’un référentiel dans la vue d’ensemble Sécurité, vous devez également avoir accès aux alertes du référentiel, avec code scanning activé pour celles-ci. Les dépôts privés nécessitent GitHub Code Security. Consultez « Définition de la configuration par défaut pour l’analyse du code ».

L’extension prend en charge les référentiels sur GitHub.com et GitHub Enterprise Cloud avec résidence des données. La fonction GitHub Enterprise Server n'est pas prise en charge.

Vous n’avez pas besoin d’activer code scanning ou d’une licence GitHub Code Security pour exécuter une révision de sécurité locale.

Installation de l’extension de sécurité GitHub

Pour installer le plug-in à partir du terminal à l’aide de Copilot CLI, entrez :

copilot plugin install github-security@awesome-copilot

copilot plugin install github-security@awesome-copilot

Vous pouvez également installer le plug-in dans le GitHub Copilot app :

1. Dans la barre latérale de l’application, cliquez sur Personnaliser.
2. Dans la barre de recherche, recherchez github-security.
3. Sous Plug-ins, en regard de « github-security », cliquez sur + Installer.

Après l’installation, le plug-in et son extension sont automatiquement activés.

Affichage des alertes d’analyse du code dans l’espace Security

Utilisez l’extension pour afficher les alertes ouvertes code scanning dans votre référentiel, classées par gravité. Code scanning doit être activé pour le dépôt, et vous devez avoir accès à ses alertes.

1. Démarrez une nouvelle session pour le référentiel sur lequel vous souhaitez travailler.
2. Si le canvas Security n’est pas déjà ouvert, cliquez sur , pointez sur Canvas, puis cliquez sur Security.
3. Dans la page d’accueil du canevas de sécurité de l’extension, cliquez sur Code scanning constatations.
4. Pour affiner la liste, dans le coin supérieur droit du canevas, cliquez pour afficher les contrôles de recherche et de filtre.
5. Cliquez sur le titre d’une alerte pour afficher sa description, sa gravité et son code affecté dans le canevas.

Vérifiez les pull requests liées à l’alerte pour voir si quelqu’un travaille déjà sur un correctif. Pour ouvrir la page d’alerte complète sur GitHub, pointez sur la ligne de l’alerte, cliquez sur , puis cliquez sur Ouvrir dans le navigateur.

L’extension affiche les alertes code scanning, et non les alertes Dependabot ou secret scanning.

Comprendre et résoudre les alertes

Les boutons Expliquer et corriger demandent à l’agent Copilot dans votre session d’agir sur les alertes sélectionnées code scanning :

• Expliquer demande à l’agent d’expliquer les alertes afin que vous puissiez comprendre les vulnérabilités avant de décider comment les résoudre.
• Fix demande à l’agent de modifier votre code pour répondre aux alertes.

1. Pour travailler sur une seule alerte, cliquez dessus pour ouvrir ses détails ou pointez dessus dans la liste des résultats pour afficher les boutons Expliquer et Corriger . Pour travailler sur plusieurs alertes, cochez les cases en regard de celles-ci.
2. Cliquez sur le bouton Explain ou Fix.
3. Passez en revue la réponse de l’agent dans la session. Si vous avez demandé un correctif, passez en revue le diff et exécutez les tests appropriés pour votre projet.
4. Poursuivez la conversation pour ajuster le correctif si nécessaire.

Lorsque vous cliquez sur Corriger, cela modifie uniquement votre copie de travail locale. Il ne valide pas les modifications, ne les pousse pas et n’ouvre pas de pull request. Lorsque vous êtes satisfait des modifications, validez et envoyez-les via votre processus de révision normal.

Un correctif local ne ferme pas une alerte code scanning. Une fois que le correctif atteint la branche affectée et code scanning s’exécute à nouveau, il détermine si l’alerte est résolue. Consultez « Résoudre les alertes d'analyse de code ».

Vous pouvez également demander à Copilot à propos de vos alertes directement dans la conversation. Par exemple:

Explain the highest-severity open code scanning alert in this
repository and suggest how I could fix it. Do not change any files.

Explain the highest-severity open code scanning alert in this
repository and suggest how I could fix it. Do not change any files.

Les outils de l’extension de sécurité respectent les paramètres d’autorisations des outils de l’application. Lorsque l’approbation est requise, Copilot demande une autorisation avant de les utiliser, de la même façon que d’autres outils.

Rejeter les alertes

Rejetez une alerte lorsque vous avez déterminé que vous n’avez pas besoin de la corriger, par exemple, car il s’agit d’un faux positif. Vous devez disposer de l’autorisation de rejeter code scanning les alertes dans le référentiel.

Contrairement à la correction du code localement, l’abandon d’une alerte la met à jour sur GitHub.

1. Cliquez en haut de la page de détails de l’alerte ou, dans la liste des détections, pointez sur la ligne de l’alerte, puis cliquez sur la même icône.
2. Cliquez sur Ignorer.
3. Sélectionnez une raison et ajoutez un commentaire expliquant votre décision.
4. Cliquez sur Ignorer la détection ou, si l’approbation est requise, envoyez la demande.

Si la fermeture déléguée de l’alerte nécessite l’approbation de votre rôle dans le référentiel, l’extension envoie une demande de fermeture au lieu de fermer l’alerte. L’alerte reste ouverte jusqu’à ce qu’un réviseur autorisé approuve la demande. Les demandes de rejet sont examinées sur GitHub, et non dans l’extension.

Vérification des modifications locales pour les nouvelles vulnérabilités

À partir du canevas de sécurité d’une session, vous pouvez demander à l’agent Copilot de vérifier les modifications actuelles de la session pour les vulnérabilités avant d’ouvrir une pull request. Vous pouvez également démarrer la révision avec la commande slash /security-review. Il s’agit d’un examen ciblé de vos modifications, et non d’un audit de sécurité complet du référentiel ou d’un remplacement pour code scanning.

1. Ouvrez une session active avec des modifications de code en cours.
2. Si le canevas de sécurité n’est pas déjà ouvert, cliquez sur , pointez sur Canevas, puis cliquez sur Sécurité.
3. Sur la page d’accueil de l’espace Security de l’extension, sous « Révision de sécurité », cliquez sur Démarrer la révision. Vous pouvez également taper /security-review et appuyer sur Entrée dans la zone d’invite de la session.
4. Passez en revue les résultats locaux dans la zone de dessin. Sélectionnez les résultats, puis cliquez sur le bouton Expliquer ou Corriger pour demander à l’agent d’expliquer les résultats ou de modifier votre code pour les traiter.
5. Après avoir modifié votre code, relancez la vérification. La zone de travail indique quand votre code a changé depuis la dernière révision.

Pour revenir aux résultats d’une révision locale précédente, cliquez sur Résultats de la dernière révision dans la page d’accueil du canevas Sécurité de l’extension.

Les résultats de la révision locale sont distincts des code scanning alertes sur GitHub. L’exécution d’une révision locale n’active pas code scanning.

Utilisation de l'IA

Lorsque vous cliquez sur le bouton Expliquer ou corriger, ou démarrez une révision de sécurité, l’agent Copilot utilise le modèle sélectionné dans l’application et consomme AI credits comme les autres invites. La navigation et la fermeture des alertes dans la zone de travail n’utilisent pas l’IA.