Per iniziare
Scopri come visualizzare i risultati, risolvere i problemi, usare SafeWrite e lavorare con la Security dashboard nel IBM Bob Premium Package per DevSecOps.
Prima di iniziare, assicurati che il tuo ambiente soddisfi tutti i requisiti. Per ulteriori informazioni, consulta Prerequisiti.
Il premium package DevSecOps esegue la scansione continuamente mentre lavori. I risultati vengono visualizzati nel pannello Bob Findings man mano che vengono rilevati. Puoi anche avviare una scansione manuale: apri il command palette ed esegui IBM Premium Package for DevSecOps: Scan for issues o IBM Premium Package for DevSecOps: Run Supply Chain Scan. Il comando Scan for issues esegue insieme la scansione di codice e configurazione (SAST, IaC, secret) e la scansione della supply chain.
Per dividere un repository di grandi dimensioni in parti più piccole, fai clic con il pulsante destro del mouse su qualsiasi directory e seleziona IBM Bob Premium Package for DevSecOps > Scan.
Visualizzare i risultati
Il pannello Bob Findings consolida tutti i risultati di scansione attivi del tuo workspace in un unico posto.
Apri il tuo IDE con un progetto caricato.
Apri il pannello Bob Findings nel pannello laterale di Bob.
Esamina la lista dei risultati. Ogni risultato mostra:
- Gravità: Critical, High, Medium, Low o Info.
- File e riga: la posizione esatta nel tuo codice.
- ID regola: la regola dello scanner che ha attivato il risultato.
- Descrizione: una spiegazione in linguaggio chiaro del problema.
- Punteggio CVSS (ove disponibile): il punteggio di gravità dal database CVE.
- Versione sicura consigliata (risultati supply chain): la versione più vicina priva della vulnerabilità.
- Indicazioni di correzione (ove disponibili): i passi suggeriti per risolvere il problema.
Risolvere un risultato
Il pulsante Fix with Bob avvia un task agentivo che analizza il risultato nel contesto e applica una correzione.
Nel pannello Bob Findings, seleziona il risultato che vuoi risolvere.
Clicca su Fix with Bob.
Bob apre un nuovo task nel pannello chat e inizia ad analizzare il problema. Esamina le modifiche proposte da Bob prima di accettarle.
Dopo aver accettato le modifiche, verifica che il risultato non sia più presente nel pannello Bob Findings.
SafeWrite
SafeWrite protegge il tuo codebase dalle vulnerabilità di sicurezza generate dall'IA. Quando Bob esegue un task agentivo che scrive o modifica file, SafeWrite intercetta le modifiche proposte in memoria prima che vengano scritte su disco.
Se l'agente tenta di dichiarare una dipendenza vulnerabile nota, SafeWrite la sostituisce automaticamente con la versione sicura più vicina prima che la scrittura venga completata. Se l'agente tenta di installare un package vulnerabile tramite un comando CLI come npm install o pip install, SafeWrite blocca o corregge il comando.
SafeWrite impedisce inoltre la manomissione diretta dei lockfile (package-lock.json, poetry.lock e file simili) e può eseguire facoltativamente controlli SAST sulle modifiche al codice proposte prima che vengano scritte.
SafeWrite (sperimentale) è disattivato per impostazione predefinita. Per usarlo, abilita SafeWrite nelle impostazioni dell'estensione.
Security dashboard
La Security dashboard fornisce una visualizzazione in tempo reale e storica dei risultati delle scansioni nel tuo progetto. Aprila dal pannello laterale di Bob per vedere le esecuzioni di scansione organizzate per progetto e branch, monitorare i trend nel tempo e rivedere o archiviare i risultati delle esecuzioni precedenti. Puoi selezionare più risultati per la remediation in blocco ed esportare un report HTML autonomo dei tuoi risultati.
La dashboard conserva i risultati per un massimo di 90 giorni.
Scansione della supply chain
Il package DevSecOps analizza i manifest delle dipendenze alla ricerca di vulnerabilità note quando apri o salvi un file. I risultati della supply chain appaiono nel pannello Bob Findings insieme agli altri risultati. Per risolvere in una volta sola le vulnerabilità delle dipendenze in tutto il progetto, usa il workflow Fix Supply Chain Vulnerabilities. Per ulteriori informazioni, consulta Workflow Fix supply chain vulnerabilities.
Policy di installazione dell'agente
Quando Bob opera in un task agentivo e installa un package per tuo conto, il package DevSecOps controlla la dipendenza prima che l'installazione venga completata. Se il package viene segnalato come rischioso:
- Bob non installa silenziosamente il package.
- Bob riporta le informazioni sul rischio nella chat e installa invece la versione consigliata.