البدء
تعلم كيفية عرض النتائج وإصلاح المشكلات واستخدام SafeWrite والعمل مع لوحة معلومات الأمان في IBM Bob Premium Package لـ DevSecOps.
قبل البدء، تأكد من أن بيئتك تستوفي جميع المتطلبات. لمزيد من المعلومات، راجع المتطلبات الأساسية.
تشغّل حزمة DevSecOps المميزة الفحص بشكل مستمر أثناء عملك. تظهر النتائج في لوحة Bob Findings فور اكتشافها. يمكنك أيضًا تشغيل فحص عند الطلب: افتح لوحة الأوامر وشغّل IBM Premium Package for DevSecOps: Scan for issues أو IBM Premium Package for DevSecOps: Run Supply Chain Scan. يشغّل الأمر Scan for issues فحص الأكواد والتهيئة (SAST وIaC والأسرار) وفحص سلسلة التوريد معًا.
لتقسيم مستودع كبير إلى أجزاء أصغر، انقر بزر الماوس الأيمن على أي دليل واختر IBM Bob Premium Package for DevSecOps > Scan.
عرض النتائج
تجمع لوحة Bob Findings جميع نتائج الفحص النشطة لمساحة العمل في مكان واحد.
افتح بيئة التطوير مع تحميل مشروع.
افتح لوحة Bob Findings في لوحة Bob الجانبية.
راجع قائمة النتائج. تعرض كل نتيجة:
- الخطورة: حرجة أو عالية أو متوسطة أو منخفضة أو معلوماتية (Info).
- الملف والسطر: الموقع الدقيق في كودك.
- معرّف القاعدة: قاعدة الفاحص التي أطلقت النتيجة.
- الوصف: شرح بلغة بسيطة للمشكلة.
- درجة CVSS (حيثما توفرت): درجة الخطورة من قاعدة بيانات CVE.
- الإصدار الآمن الموصى به (نتائج سلسلة التوريد): أقرب إصدار خالٍ من الثغرة.
- إرشادات الإصلاح (حيثما توفرت): خطوات مقترحة لحل المشكلة.
إصلاح نتيجة
يبدأ زر Fix with Bob مهمة وكيلية تحلل النتيجة في سياقها وتطبق إصلاحاً.
في لوحة Bob Findings، حدد النتيجة التي تريد حلها.
انقر على Fix with Bob.
يفتح Bob مهمة جديدة في لوحة المحادثة ويبدأ تحليل المشكلة. راجع التغييرات المقترحة من Bob قبل قبولها.
بعد قبول التغييرات، تحقق من أن النتيجة لم تعد موجودة في لوحة Bob Findings.
SafeWrite
يحمي SafeWrite قاعدة الكود لديك من الثغرات الأمنية التي يولدها الذكاء الاصطناعي. عندما ينفذ Bob مهمة وكيلية تكتب ملفات أو تعدلها، يعترض SafeWrite التغييرات المقترحة في الذاكرة قبل كتابتها على القرص.
إذا حاول الوكيل تصريح تبعية معرضة للثغرات معروفة، يستبدلها SafeWrite تلقائيًا بأقرب إصدار آمن قبل اكتمال الكتابة. وإذا حاول الوكيل تثبيت حزمة معرضة للثغرات عبر أمر CLI مثل npm install أو pip install، يحجب SafeWrite الأمر أو يصححه.
يمنع SafeWrite أيضًا العبث المباشر بملفات القفل (package-lock.json وpoetry.lock وما شابهها)، ويمكنه اختياريًا تشغيل فحوصات SAST على تغييرات الكود المقترحة قبل كتابتها.
SafeWrite (تجريبي) معطّل افتراضيًا. لاستخدامه، فعّل SafeWrite من إعدادات الامتداد.
لوحة معلومات الأمان
توفر لوحة معلومات الأمان عرضًا فوريًا وتاريخيًا لنتائج الفحص عبر مشروعك. افتحها من لوحة Bob الجانبية لرؤية عمليات الفحص منظمة حسب المشروع والفرع، وتتبع الاتجاهات بمرور الوقت، ومراجعة النتائج من عمليات التشغيل السابقة أو تجاهلها. يمكنك تحديد عدة نتائج لإصلاحها دفعة واحدة، وتصدير تقرير HTML مستقل بنتائجك.
تحتفظ لوحة المعلومات بالنتائج لمدة تصل إلى 90 يومًا.
فحص سلسلة التوريد
تفحص حزمة DevSecOps ملفات بيان التبعيات (manifests) الخاصة بك بحثًا عن الثغرات المعروفة عند فتح ملف أو حفظه. تظهر نتائج سلسلة التوريد في لوحة Bob Findings جنبًا إلى جنب مع النتائج الأخرى. لمعالجة ثغرات التبعيات عبر مشروعك بالكامل دفعة واحدة، استخدم سير عمل Fix Supply Chain Vulnerabilities. لمزيد من المعلومات، راجع سير عمل إصلاح ثغرات سلسلة التوريد.
سياسة تثبيت الوكيل
عندما يثبّت Bob حزمة أثناء مهمة وكيلية، تتحقق حزمة DevSecOps من التبعية قبل اكتمال التثبيت. إذا تم وضع علامة على الحزمة بأنها خطرة:
- لا يثبّت Bob الحزمة بصمت.
- يبلغ Bob عن معلومات المخاطر في المحادثة ويثبّت الإصدار الموصى به عوضاً عن ذلك.