Wprowadzenie
Skanowanie kodu przy użyciu języka CodeQL zapewnia rozszerzalną metodę automatyzowania skanowania luk w zabezpieczeniach w repozytoriach GitHub organizacji. Ważne jest, aby zrozumieć, jak działa narzędzie i jakie są jego funkcje, aby najlepiej zaimplementować skanowanie kodu w celu spełnienia wymagań w zakresie zabezpieczeń kodu. Będziesz musiał również zrozumieć różne opcje konfiguracji oraz sposób implementacji i utrzymania potoku skanowania kodu, aby poprawnie skonfigurować i wdrożyć skanowanie kodu.
W tym module zapoznamy się z narzędziem analizy statycznej CodeQL i sposobem, w jaki funkcja skanowania kodu w usłudze GitHub używa jej do automatyzowania skanowania luk w zabezpieczeniach. Dowiesz się również, jak dostosować przepływ pracy skanowania kodu, który używa języka CodeQL, jak dołączać dodatkowe zapytania i jak dostosować przepływ pracy do repozytoriów, które mają wiele języków.
Cele szkolenia
Po ukończeniu tego modułu będziesz wiedzieć, jak wykonać następujące czynności:
- Omówienie języka CodeQL i sposobu analizowania kodu.
- Omówienie języka QL, unikatowego języka programowania logiki.
- Skonfiguruj skanowanie kodu opartego na języku CodeQL w repozytorium GitHub.
- Odwoływanie się do niestandardowego zapytania CodeQL.
- Skonfiguruj macierz języka w przepływie pracy CodeQL.
- Dowiedz się, jak używać interfejsu wiersza polecenia CodeQL do generowania wyników skanowania kodu i przekazywania ich do usługi GitHub.
- Implementowanie niestandardowych kroków kompilacji.
Wymagania wstępne
- Konto usługi GitHub enterprise z licencją usługi GitHub Advanced Security
- Niezbędne uprawnienia do administrowania repozytorium
- Znajomość funkcji skanowania kodu w usłudze GitHub Advanced Security
- Znajomość funkcji GitHub Actions