Primeiros passos
Aprenda a visualizar resultados, corrigir problemas, usar o SafeWrite e trabalhar com o dashboard de segurança no IBM Bob Premium Package para DevSecOps.
Antes de começar, certifique-se de que seu ambiente atende a todos os requisitos. Para mais informações, consulte Pré-requisitos.
O IBM Bob Premium Package para DevSecOps executa a verificação continuamente enquanto você trabalha. Os resultados aparecem no painel Bob Findings à medida que são detectados. Você também pode acionar uma verificação sob demanda: abra a paleta de comandos e execute IBM Premium Package for DevSecOps: Scan for issues ou IBM Premium Package for DevSecOps: Run Supply Chain Scan. O comando Scan for issues executa juntas a verificação de código e configuração (SAST, IaC, segredos) e a verificação da cadeia de suprimentos.
Para dividir um repositório grande em partes menores, clique com o botão direito em qualquer diretório e selecione IBM Bob Premium Package for DevSecOps > Scan.
Ver resultados
O painel Bob Findings consolida todos os resultados de verificação ativos do seu workspace em um único lugar.
Abra seu IDE com um projeto carregado.
Abra o painel Bob Findings no painel lateral do Bob.
Revise a lista de resultados. Cada resultado mostra:
- Gravidade: Critical, High, Medium, Low ou Info.
- Arquivo e linha: a localização exata no seu código.
- ID de regra: a regra do verificador que acionou o resultado.
- Descrição: uma explicação em linguagem simples do problema.
- Pontuação CVSS (quando disponível): a pontuação de gravidade do banco de dados CVE.
- Versão segura recomendada (resultados da cadeia de suprimentos): a versão mais próxima sem a vulnerabilidade.
- Orientações de correção (quando disponíveis): etapas sugeridas para resolver o problema.
Corrigir um resultado
O botão Fix with Bob inicia uma tarefa agêntica que analisa o resultado no contexto e aplica uma correção.
No painel Bob Findings, selecione o resultado que você deseja resolver.
Clique em Fix with Bob.
O Bob abre uma nova tarefa no painel de chat e começa a analisar o problema. Revise as alterações propostas pelo Bob antes de aceitá-las.
Após aceitar as alterações, verifique se o resultado não aparece mais no painel Bob Findings.
SafeWrite
O SafeWrite protege sua base de código contra vulnerabilidades de segurança geradas por IA. Quando o Bob executa uma tarefa agêntica que grava ou edita arquivos, o SafeWrite intercepta as alterações propostas na memória antes que sejam gravadas no disco.
Se o agente tentar declarar uma dependência vulnerável conhecida, o SafeWrite a substituirá automaticamente pela versão segura mais próxima antes que a gravação seja concluída. Se o agente tentar instalar um pacote vulnerável por meio de um comando de CLI como npm install ou pip install, o SafeWrite bloqueará ou corrigirá o comando.
O SafeWrite também impede a adulteração direta de lockfiles (package-lock.json, poetry.lock e arquivos semelhantes) e pode, opcionalmente, executar verificações SAST nas alterações de código propostas antes que sejam gravadas.
O SafeWrite (experimental) está desativado por padrão. Para usá-lo, ativa o SafeWrite nas configurações da extensão.
Dashboard de segurança
O dashboard de segurança fornece uma visualização histórica e em tempo real dos resultados de verificação em seu projeto. Abra-o a partir do painel lateral do Bob para ver as execuções de verificação organizadas por projeto e branch, acompanhar tendências ao longo do tempo e revisar ou descartar resultados de execuções anteriores. Você pode selecionar vários resultados para correção em lote e exportar um relatório HTML independente com seus resultados.
O dashboard armazena os resultados por até 90 dias.
Verificação da cadeia de suprimentos
O package DevSecOps verifica seus manifestos de dependências em busca de vulnerabilidades conhecidas quando você abre ou salva um arquivo. Os resultados da cadeia de suprimentos aparecem no painel Bob Findings junto com os demais resultados. Para corrigir vulnerabilidades de dependências em todo o projeto de uma só vez, use o workflow Fix Supply Chain Vulnerabilities. Para mais informações, consulte Workflow Fix supply chain vulnerabilities.
Política de instalação do agente
Quando o Bob instala um pacote durante uma tarefa agêntica, o package DevSecOps verifica a dependência antes que a instalação seja concluída. Se o pacote for sinalizado como arriscado:
- O Bob não instala o pacote silenciosamente.
- O Bob informa os dados de risco no chat e instala a versão recomendada em seu lugar.