Primeros pasos
Aprende a ver los hallazgos, resolver problemas, usar SafeWrite y trabajar con el panel de seguridad en el IBM Bob Premium Package para DevSecOps.
Antes de comenzar, asegúrate de que tu entorno cumpla todos los requisitos. Para más información, consulta Requisitos previos.
El premium package de DevSecOps ejecuta el análisis de forma continua mientras trabajas. Los hallazgos aparecen en el panel Bob Findings a medida que se detectan. También puedes activar un análisis bajo demanda: abre la paleta de comandos y ejecuta IBM Premium Package for DevSecOps: Scan for issues o IBM Premium Package for DevSecOps: Run Supply Chain Scan. El comando Scan for issues ejecuta juntos el análisis de código y configuración (SAST, IaC, secretos) y el análisis de la cadena de suministro.
Para dividir un repositorio grande en partes más pequeñas, haz clic derecho en cualquier directorio y selecciona IBM Bob Premium Package for DevSecOps > Scan.
Ver los hallazgos
El panel Bob Findings consolida todos los resultados de análisis activos de tu workspace en un solo lugar.
Abre tu IDE con un proyecto cargado.
Abre el panel Bob Findings en el panel lateral de Bob.
Revisa la lista de hallazgos. Cada hallazgo muestra:
- Gravedad: Critical, High, Medium, Low o Info.
- Archivo y línea: la ubicación exacta en tu código.
- ID de regla: la regla del analizador que activó el hallazgo.
- Descripción: una explicación en lenguaje claro del problema.
- Puntuación CVSS (cuando está disponible): la puntuación de gravedad de la base de datos CVE.
- Versión segura recomendada (hallazgos de la cadena de suministro): la versión más próxima sin la vulnerabilidad.
- Guía de corrección (cuando está disponible): pasos sugeridos para resolver el problema.
Resolver un hallazgo
El botón Fix with Bob inicia una tarea agéntica que analiza el hallazgo en contexto y aplica una corrección.
En el panel Bob Findings, selecciona el hallazgo que quieres resolver.
Haz clic en Fix with Bob.
Bob abre una nueva tarea en el panel de chat y comienza a analizar el problema. Revisa los cambios propuestos por Bob antes de aceptarlos.
Después de aceptar los cambios, verifica que el hallazgo ya no aparezca en el panel Bob Findings.
SafeWrite
SafeWrite protege tu base de código de las vulnerabilidades de seguridad generadas por IA. Cuando Bob ejecuta una tarea agéntica que escribe o edita archivos, SafeWrite intercepta los cambios propuestos en memoria antes de que se escriban en el disco.
Si el agente intenta declarar una dependencia vulnerable conocida, SafeWrite la reemplaza automáticamente por la versión segura más próxima antes de que se complete la escritura. Si el agente intenta instalar un paquete vulnerable mediante un comando de CLI como npm install o pip install, SafeWrite bloquea o parchea el comando.
SafeWrite también impide la manipulación directa de lockfiles (package-lock.json, poetry.lock y archivos similares), y puede ejecutar opcionalmente comprobaciones SAST sobre los cambios de código propuestos antes de que se escriban.
SafeWrite (experimental) está desactivado por defecto. Para usarlo, activa SafeWrite en la configuración de la extensión.
Panel de seguridad
El panel de seguridad ofrece una vista en tiempo real e histórica de los resultados de análisis de tu proyecto. Ábrelo desde el panel lateral de Bob para ver las ejecuciones de análisis organizadas por proyecto y rama, realizar un seguimiento de tendencias a lo largo del tiempo, y revisar o descartar hallazgos de ejecuciones anteriores. Puedes seleccionar varios hallazgos para la corrección en bloque y exportar un informe HTML independiente con tus resultados.
El panel almacena los resultados hasta 90 días.
Análisis de la cadena de suministro
El package de DevSecOps analiza tus manifiestos de dependencias en busca de vulnerabilidades conocidas cuando abres o guardas un archivo. Los hallazgos de la cadena de suministro aparecen en el panel Bob Findings junto con los demás hallazgos. Para corregir las vulnerabilidades de dependencias de todo tu proyecto de una sola vez, usa el workflow Fix Supply Chain Vulnerabilities. Para más información, consulta Workflow de corrección de vulnerabilidades de la cadena de suministro.
Política de instalación del agente
Cuando Bob opera en una tarea agéntica e instala un paquete en tu nombre, el package de DevSecOps comprueba la dependencia antes de que se complete la instalación. Si el paquete se marca como riesgoso:
- Bob no instala el paquete silenciosamente.
- Bob informa del riesgo en el chat e instala la versión recomendada en su lugar.