Pierwsze kroki
Dowiedz się, jak przeglądać wyniki, naprawiać problemy, korzystać z SafeWrite i pracować z Security dashboard w IBM Bob Premium Package for DevSecOps.
Przed rozpoczęciem upewnij się, że twoje środowisko spełnia wszystkie wymagania. Więcej informacji znajdziesz w sekcji Wymagania wstępne.
Pakiet premium DevSecOps prowadzi skanowanie ciągłe podczas pracy. Wyniki pojawiają się w panelu Bob Findings w miarę ich wykrywania. Możesz też uruchomić skan na żądanie: otwórz paletę poleceń i uruchom IBM Premium Package for DevSecOps: Scan for issues lub IBM Premium Package for DevSecOps: Run Supply Chain Scan. Polecenie Scan for issues uruchamia razem skan kodu i konfiguracji (SAST, IaC, sekrety) oraz skan łańcucha dostaw.
Aby podzielić duże repozytorium na mniejsze części, kliknij prawym przyciskiem myszy dowolny katalog i wybierz IBM Bob Premium Package for DevSecOps > Scan.
Przeglądanie wyników
Panel Bob Findings gromadzi wszystkie aktywne wyniki skanowania z workspace w jednym miejscu.
Otwórz IDE z załadowanym projektem.
Otwórz panel Bob Findings w panelu bocznym Boba.
Przejrzyj listę wyników. Każdy wynik pokazuje:
- Ważność: Critical, High, Medium, Low lub Info.
- Plik i wiersz: dokładna lokalizacja w kodzie.
- ID reguły: reguła skanera, która wywołała wynik.
- Opis: zrozumiałe wyjaśnienie problemu.
- Wynik CVSS (tam, gdzie jest dostępny): ocena ważności z bazy danych CVE.
- Zalecana bezpieczna wersja (wyniki łańcucha dostaw): najbliższa wersja bez podatności.
- Wskazówki dotyczące naprawy (tam, gdzie są dostępne): sugerowane kroki do rozwiązania problemu.
Naprawianie wyniku
Przycisk Fix with Bob uruchamia zadanie agentowe, które analizuje wynik w kontekście i stosuje poprawkę.
W panelu Bob Findings wybierz wynik, który chcesz rozwiązać.
Kliknij Fix with Bob.
Bob otwiera nowe zadanie w panelu czatu i rozpoczyna analizę problemu. Przejrzyj proponowane zmiany Boba przed ich zaakceptowaniem.
Po zaakceptowaniu zmian sprawdź, czy wynik nie pojawia się już w panelu Bob Findings.
SafeWrite
SafeWrite chroni twoją bazę kodu przed podatnościami zabezpieczeń generowanymi przez AI. Gdy Bob uruchamia zadanie agentowe, które zapisuje lub edytuje pliki, SafeWrite przechwytuje proponowane zmiany w pamięci, zanim zostaną zapisane na dysku.
Jeśli agent spróbuje zadeklarować znaną podatną zależność, SafeWrite automatycznie zastępuje ją najbliższą bezpieczną wersją, zanim zapis się zakończy. Jeśli agent spróbuje zainstalować podatny pakiet za pomocą polecenia CLI, takiego jak npm install lub pip install, SafeWrite blokuje lub łata to polecenie.
SafeWrite zapobiega też bezpośredniej ingerencji w lockfile'e (package-lock.json, poetry.lock i podobne pliki) oraz opcjonalnie może uruchamiać kontrole SAST dla proponowanych zmian w kodzie, zanim zostaną zapisane.
SafeWrite (eksperymentalny) jest domyślnie wyłączony. Aby go używać, włącz SafeWrite w ustawieniach rozszerzenia.
Security dashboard
Security dashboard zapewnia widok w czasie rzeczywistym i historyczny wyników skanowania w całym projekcie. Otwórz go w panelu bocznym Boba, aby zobaczyć uruchomienia skanowania uporządkowane według projektu i brancha, śledzić trendy w czasie oraz przeglądać lub odrzucać wyniki z poprzednich uruchomień. Możesz wybrać wiele wyników do zbiorczej naprawy oraz wyeksportować samodzielny raport HTML ze swoimi wynikami.
Dashboard przechowuje wyniki do 90 dni.
Skanowanie łańcucha dostaw
Pakiet DevSecOps skanuje manifesty zależności pod kątem znanych podatności, gdy otwierasz lub zapisujesz plik. Wyniki skanowania łańcucha dostaw pojawiają się w panelu Bob Findings obok innych wyników. Aby naprawić podatności zależności w całym projekcie naraz, użyj workflow Fix Supply Chain Vulnerabilities. Więcej informacji znajdziesz w sekcji Workflow naprawy podatności łańcucha dostaw.
Polityka instalacji agenta
Gdy Bob instaluje pakiet podczas zadania agentowego, pakiet DevSecOps sprawdza zależność przed zakończeniem instalacji. Jeśli pakiet zostanie oznaczony jako ryzykowny:
- Bob nie instaluje pakietu po cichu.
- Bob raportuje informacje o ryzyku na czacie i zamiast tego instaluje zalecaną wersję.