Erste Schritte
Lerne, wie du Findings anzeigst, Probleme behebst, SafeWrite nutzt und mit dem Security-Dashboard im IBM Bob Premium Package für DevSecOps arbeitest.
Bevor du beginnst, stelle sicher, dass deine Umgebung alle Anforderungen erfüllt. Weitere Informationen findest du unter Voraussetzungen.
Das DevSecOps-Premium-Package führt das Scanning kontinuierlich während der Arbeit durch. Findings erscheinen im Bob Findings-Panel, sobald sie erkannt werden. Du kannst einen Scan auch manuell auslösen: Öffne die Befehlspalette und führe IBM Premium Package for DevSecOps: Scan for issues oder IBM Premium Package for DevSecOps: Run Supply Chain Scan aus. Der Befehl Scan for issues führt den Code- und Konfigurationsscan (SAST, IaC, Secrets) und den Supply-Chain-Scan gemeinsam aus.
Um ein großes Repository in kleinere Teile aufzuteilen, klicke mit der rechten Maustaste auf ein beliebiges Verzeichnis und wähle IBM Bob Premium Package for DevSecOps > Scan.
Findings anzeigen
Das Bob Findings-Panel fasst alle aktiven Scan-Ergebnisse für deinen Workspace an einem Ort zusammen.
Öffne deine IDE mit einem geladenen Projekt.
Öffne das Bob Findings-Panel im Bob-Seitenpanel.
Überprüfe die Findings-Liste. Jedes Finding zeigt:
- Schweregrad: Critical, High, Medium, Low oder Info.
- Datei und Zeile: die genaue Position in deinem Code.
- Regel-ID: die Scanner-Regel, die das Finding ausgelöst hat.
- Beschreibung: eine verständliche Erklärung des Problems.
- CVSS-Score (sofern verfügbar): der Schweregrad-Score aus der CVE-Datenbank.
- Empfohlene sichere Version (Supply-Chain-Findings): die nächste Version ohne die Schwachstelle.
- Behebungshinweise (sofern verfügbar): empfohlene Schritte zur Lösung des Problems.
Ein Finding beheben
Die Schaltfläche Fix with Bob startet einen agentischen Task, der das Finding im Kontext analysiert und einen Fix anwendet.
Wähle im Bob Findings-Panel das Finding aus, das du beheben möchtest.
Klicke auf Fix with Bob.
Bob öffnet einen neuen Task im Chat-Panel und beginnt mit der Analyse des Problems. Überprüfe Bobs vorgeschlagene Änderungen, bevor du sie akzeptierst.
Nachdem du die Änderungen akzeptiert hast, überprüfe, ob das Finding nicht mehr im Bob Findings-Panel erscheint.
SafeWrite
SafeWrite schützt deine Codebasis vor KI-generierten Sicherheitsschwachstellen. Wenn Bob eine agentische Aufgabe ausführt, die Dateien schreibt oder bearbeitet, fängt SafeWrite die vorgeschlagenen Änderungen im Arbeitsspeicher ab, bevor sie auf die Festplatte geschrieben werden.
Wenn der Agent versucht, eine bekannte verwundbare Abhängigkeit zu deklarieren, ersetzt SafeWrite sie automatisch durch die nächste sichere Version, bevor der Schreibvorgang abgeschlossen wird. Wenn der Agent versucht, ein verwundbare Package über einen CLI-Befehl wie npm install oder pip install zu installieren, blockiert oder patcht SafeWrite den Befehl.
SafeWrite verhindert außerdem direkte Manipulationen an Lockfiles (package-lock.json, poetry.lock und ähnliche Dateien) und kann optional SAST-Prüfungen gegen vorgeschlagene Code-Änderungen ausführen, bevor sie geschrieben werden.
SafeWrite (experimentell) ist standardmäßig deaktiviert. Um es zu nutzen, aktiviere SafeWrite in den Erweiterungseinstellungen.
Security-Dashboard
Das Security-Dashboard bietet eine Echtzeit- und Historienansicht der Scan-Ergebnisse für dein Projekt. Öffne es im Bob-Seitenpanel, um Scan-Läufe nach Projekt und Branch organisiert anzuzeigen, Trends im Zeitverlauf zu verfolgen sowie Findings aus vergangenen Läufen zu überprüfen oder zu verwerfen. Du kannst mehrere Findings für eine Massenbehebung auswählen und einen eigenständigen HTML-Bericht deiner Ergebnisse exportieren.
Das Dashboard speichert Ergebnisse für bis zu 90 Tage.
Supply-Chain-Scanning
Das DevSecOps-Package scannt deine Abhängigkeits-Manifests auf bekannte Schwachstellen, wenn du eine Datei öffnest oder speicherst. Supply-Chain-Findings erscheinen im Bob Findings-Panel neben anderen Findings. Um Abhängigkeitsschwachstellen in deinem gesamten Projekt auf einmal zu beheben, verwende den Workflow zur Behebung von Supply-Chain-Schwachstellen. Weitere Informationen findest du unter Workflow zur Behebung von Supply-Chain-Schwachstellen.
Agentische Installationsrichtlinie
Wenn Bob in einem agentischen Task ein Package in deinem Namen installiert, prüft das DevSecOps-Package die Abhängigkeit vor Abschluss der Installation. Wenn das Package als riskant eingestuft wird:
- Bob installiert das Package nicht stillschweigend.
- Bob gibt die Risikoinformationen im Chat aus und installiert stattdessen die empfohlene Version.