Введення
Сканування коду за допомогою CodeQL забезпечує розширюваний метод автоматизації сканування вразливостей у репозиторіях GitHub вашої організації. Важливо розуміти, як працює інструмент і які його функції так, щоб краще впроваджувати сканування коду відповідно до потреб безпеки коду. Крім того, потрібно зрозуміти різні параметри конфігурації, а також про те, як реалізувати та зберегти трубопровід сканування коду, щоб правильно настроїти та розгорнути сканування коду.
У цьому модулі ми переглядаємо інструмент статичного аналізу CodeQL і те, як функція сканування коду в GitHub використовує його для автоматизації сканування вразливостей. Ми також дізнаємося, як настроїти робочий цикл сканування коду, який використовує CodeQL, як включити додаткові запити та як адаптувати робочий цикл до репозиторіїв із кількома мовами.
Цілі навчання
Наприкінці цього модуля ви зможете:
- Ознайомтеся з кодом і аналізом коду.
- Зрозумійте QL – унікальну логічну мову програмування.
- Налаштуйте сканування коду на основі CodeQL у сховищі GitHub.
- Посилання на настроюваний запит CodeQL.
- Настроювання матриці мови в робочому циклі CodeQL.
- Дізнайтеся, як використовувати CLI CodeQL, щоб створювати результати сканування коду та передавати їх до GitHub.
- Упровадьте настроювані етапи побудови.
Передумови
- Корпоративний обліковий запис GitHub з ліцензією на розширену безпеку GitHub
- Необхідні дозволи для адміністрування сховища
- Знання функції сканування коду GitHub Advanced Security
- Знання дій GitHub