آمادگی آزمون امنیت پیشرفته گیت‌هاب (GitHub Advanced Security) توسط Microsoft Press - آخرین آپدیت

سرفصل ها و درس ها

مقدمه Introduction

• مقدمه Introduction

1. رونمایی از ویژگی‌های امنیتی GHAS 1. Unveil GHAS Security Features

• توضیح ویژگی‌ها و مزایای نمای کلی امنیتی Describe the features and benefits of a security overview

• بررسی نحوه ایجاد چرخه توسعه نرم‌افزاری امن‌تر توسط اسکن اسرار، اسکن کد و Dependabot Describe how secret scanning, code scanning, and Dependabot create a more secure software development lifecycle

• مقایسه سناریوی امنیتی با بررسی امنیتی ایزوله و سناریوهای پیشرفته Contrast a security scenario with an isolated security review and an advanced scenario

• اهداف یادگیری Learning objectives

• توضیح تفاوت‌های بین اسکن اسرار و اسکن کد Describe the differences between secret scanning and code scanning

• تفاوت ویژگی‌های امنیتی در پروژه‌های متن‌باز در مقابل ویژگی‌های GHAS در GHEC یا GHES Differentiate security features with open-source projects and the features available when GHAS pairs with GHEC or GHES

2. بهره‌برداری از قابلیت‌های GHAS 2. Harness GHAS Features

• اهداف یادگیری Learning objectives

• شناسایی محل استفاده از هشدارهای Dependabot در چرخه توسعه نرم‌افزار Identify where to use Dependabot alerts in the software development lifecycle

• توضیح تفاوت‌های مدیریت دسترسی برای مشاهده هشدارهای ویژگی‌های امنیتی مختلف Describe the differences in access management to view alerts for different security features

• توضیح سیاست امنیتی در یک مخزن گیت‌هاب Describe a security policy in a GitHub repository

• توضیح پیامدهای نادیده گرفتن یک هشدار Explain the implications of ignoring an alert

• توضیح نقش توسعه‌دهنده هنگام کشف یک هشدار امنیتی Explain the role of a developer when they discover a security alert

• توضیح نحوه اقدام در مورد هشدارهای GHAS Explain how to act on alerts from GHAS

• توضیح نحوه شناسایی وابستگی‌های آسیب‌پذیر Describe how vulnerable dependencies are identified

3. پیاده‌سازی اسکن اسرار 3. Implement Secret Scanning

• توضیح نحوه انتخاب پاسخ مناسب برای هشدار اسکن اسرار Explain how to pick an appropriate response to a secret scanning alert

• توضیح اسکن اسرار (Secret Scanning) Describe secret scanning

• انتخاب زمان اجرای اسکن اسرار Choose when secret scanning occurs

• تعیین اینکه آیا برای یک راز، الگو یا ارائه‌دهنده سرویس خاص هشدار ایجاد می‌شود یا خیر Determine if an alert is generated for a given secret, pattern, or service provider

• فعال‌سازی اسکن اسرار برای یک سازمان Enable secret scanning for an organization

• تعیین اینکه آیا یک نقش کاربری خاص هشدارهای اسکن اسرار را می‌بیند یا خیر Determine if a given user role will see secret scanning alerts

• اهداف یادگیری Learning objectives

• مقایسه در دسترس بودن اسکن اسرار برای مخازن عمومی و خصوصی Contrast secret scanning availability for public and private repositories

• فعال‌سازی اسکن اسرار برای مخازن خصوصی Enable secret scanning for private repositories

4. شخصی‌سازی اسکن اسرار 4. Tailor Secret Scanning

• توضیح نحوه فعال‌سازی اسکن اسرار سفارشی برای یک مخزن Explain how to enable custom secret scanning for a repository

• پیکربندی دریافت‌کنندگان هشدار اسکن اسرار Configure the recipients of a secret scanning alert

• توضیح نحوه فعال‌سازی اسکن اسرار سفارشی برای یک سازمان Explain how to enable custom secret scanning for an organization

• توضیح نحوه حذف برخی فایل‌ها از اسکن اسرار Describe how to exclude certain files from being scanned for secrets

• اهداف یادگیری Learning objectives

5. بررسی ابزارهای آسیب‌پذیری وابستگی‌ها 5. Explore Dependency Vulnerability Tools

• توضیح هشدارهای Dependabot Describe Dependabot alerts

• تعریف آسیب‌پذیری (Vulnerability) Define a vulnerability

• توضیح به‌روزرسانی‌های امنیتی Dependabot Describe Dependabot security updates

• اهداف یادگیری Learning objectives

• توضیح نحوه ایجاد گراف وابستگی Describe how the dependency graph is generated

• تعریف گراف وابستگی (Dependency Graph) Define the dependency graph

• توضیح نحوه ایجاد هشدار برای وابستگی‌های آسیب‌پذیر Describe how alerts are generated for vulnerable dependencies

6. راه‌اندازی ابزارهای مدیریت آسیب‌پذیری 6. Set Up Vulnerability Management Tools

• پیکربندی اعلان‌ها برای وابستگی‌های آسیب‌پذیر Configure notifications for vulnerable dependencies

• فعال‌سازی هشدارهای Dependabot برای سازمان‌ها Enable Dependabot alerts for organizations

• اهداف یادگیری Learning objectives

• شناسایی مجوزها و نقش‌های مورد نیاز برای مشاهده هشدارهای Dependabot Identify the permissions and roles required to view Dependabot alerts

• شناسایی مجوزها و نقش‌های مورد نیاز برای فعال‌سازی هشدارهای Dependabot Identify the permissions and roles required to enable Dependabot alerts

• شناسایی تنظیمات پیش‌فرض هشدارهای Dependabot در مخازن عمومی و خصوصی Identify the default settings for Dependabot alerts in public and private repositories

• ایجاد یک فایل پیکربندی معتبر برای Dependabot Create a valid Dependabot configuration file

• فعال‌سازی هشدارهای Dependabot برای مخازن خصوصی Enable Dependabot alerts for private repositories

7. رفع وابستگی‌های آسیب‌پذیر 7. Resolve Vulnerable Dependencies

• اهداف یادگیری Learning objectives

• رفع آسیب‌پذیری از طریق هشدار Dependabot در تب Security Remedy a vulnerability from a Dependabot alert in the Security tab

• شناسایی وابستگی‌های آسیب‌پذیر از طریق Pull Request Identify vulnerable dependencies from a pull request

• اقدام روی هشدارهای Dependabot از طریق تست و ادغام Pull Requestها Act on any Dependabot alerts by testing and merging pull requests

• فعال‌سازی به‌روزرسانی‌های امنیتی Dependabot Enable Dependabot security updates

• رفع آسیب‌پذیری هشدار Dependabot در محیط Pull Request Remedy a vulnerability from a Dependabot alert in the context of a pull request

• شناسایی یک وابستگی آسیب‌پذیر از هشدار Dependabot Identify a vulnerable dependency from a Dependabot alert

8. شروع اسکن کد 8. Initiate Code Scanning

• اهداف یادگیری Learning objectives

• لیست مراحل فعال‌سازی اسکن کد در یک مخزن با استفاده از GitHub Actions List the steps for enabling code scanning in a repository using GitHub Actions

• فعال‌سازی اسکن کد برای استفاده در گردش کار تحلیل CodeQL Enable code scanning for use with a CodeQL analysis workflow

• توضیح رابطه اسکن کد با مصرف منابع GitHub Actions Describe how code scanning relates to GitHub Actions consumption

• توضیح اسکن کد (Code Scanning) Describe code scanning

9. یکپارچه‌سازی اسکن کد شخص ثالث 9. Integrate Third-Party Code Scanning

• اهداف یادگیری Learning objectives

• مقایسه مراحل استفاده از CodeQL در مقابل تحلیل شخص ثالث هنگام فعال‌سازی اسکن کد Contrast the steps for using CodeQL versus third-party analysis when enabling code scanning

• فعال‌سازی اسکن کد برای استفاده با تحلیل شخص ثالث Enable code scanning for use with third-party analysis

• مقایسه نحوه پیاده‌سازی تحلیل CodeQL در گردش کار GitHub Actions در مقابل ابزار CI شخص ثالث Contrast how to implement CodeQL analysis in a GitHub Actions workflow versus a third-party CI tool

10. پیکربندی اسکن کد 10. Configure Code Scanning

• توضیح جایگاه اسکن کد در چرخه توسعه نرم‌افزار Describe how code scanning fits in the software development lifecycle

• اهداف یادگیری Learning objectives

• مقایسه تواتر (فرکانس) گردش‌های کاری اسکن کد Contrast the frequency of code scanning workflows

• ویرایش قالب پیش‌فرض گردش کار Actions برای یک مخزن فعال، متن‌باز و عملیاتی Edit the default template for the Actions workflow to fit an active, open-source, production repository

• انتخاب یک رویداد محرک (Trigger) برای یک الگوی توسعه خاص Choose a triggering event for a given development pattern

11. کشف قابلیت‌های اسکن CodeQL 11. Discover CodeQL Scanning Capabilities

• توضیح نحوه تحلیل کد توسط CodeQL و تولید نتایج Describe how CodeQL analyzes code and produces results

• اهداف یادگیری Learning objectives

• تعریف QL pack، کوئری کد و مجموعه کد (Code Suite) Define a QL pack, code query, and code suite

• توضیح مجموعه‌های پیش‌فرض کوئری CodeQL Describe the default CodeQL query suites

• توضیح CodeQL Describe CodeQL

12. اعمال اسکن CodeQL 12. Apply CodeQL Scanning

• اهداف یادگیری Learning objectives

• ارجاع به یک کوئری CodeQL از یک مخزن خصوصی در گردش کار اسکن کد Reference a CodeQL query from a private repository within a code scanning workflow

• لیست مکان‌هایی که کوئری‌های CodeQL را می‌توان برای اسکن کد در آن‌ها مشخص کرد List the locations in which CodeQL queries can be specified for use with code scanning

• مقایسه مراحل اجرای اسکن کد در GitHub Actions در مقابل CodeQL CLI Contrast the steps to execute code scanning in GitHub Actions vs. the CodeQL CLI

• اجرای اسکن کد با استفاده از CodeQL CLI Execute code scanning with the CodeQL CLI

• ارجاع به یک فایل پیکربندی در یک مخزن عمومی دور (Remote) Reference a configuration file in a remote public repository

• ارجاع به یک کوئری CodeQL از یک مخزن عمومی در گردش کار اسکن کد Reference a CodeQL query from a public repository within a code scanning workflow

• ارجاع به یک فایل پیکربندی در همان مخزن Reference a configuration file within the same repository

• معرفی گردش کار تحلیل CodeQL به یک مخزن Introduce a CodeQL analysis workflow to a repository

• ارجاع به یک کوئری CodeQL از یک دایرکتوری محلی در گردش کار اسکن کد Reference a CodeQL query from a local directory within a code scanning workflow

• پیکربندی ماتریس زبان در یک گردش کار CodeQL Configure the language matrix in a CodeQL workflow

13. اولویت‌بندی نتایج تحلیل CodeQL 13. Triage CodeQL Analysis Results

• دنبال کردن جریان داده‌ها در کد با استفاده از تجربه Show Paths Follow the data flow through code using the show paths experience

• تعیین اینکه آیا یک هشدار اسکن کد باید رد (Dismiss) شود و چرا Determine if and why a code scanning alert needs to be dismissed

• توضیح دلیل هشدار اسکن کد با توجه به مستندات پیوست شده به هشدار Explain the reason for a code scanning alert given documentation linked from the alert

• بهینه‌سازی زمان اجرای تحلیل CodeQL Optimize CodeQL analysis runtimes

• توضیح نحوه مشاهده نتایج اسکن کد از تحلیل CodeQL Describe how to view code scanning results from CodeQL analysis

• اهداف یادگیری Learning objectives

• عیب‌یابی یک گردش کار اسکن کد ناموفق با استفاده از CodeQL Troubleshoot a failing code scanning workflow using CodeQL

• توضیح نقاط ضعف احتمالی CodeQL از طریق مدل کامپایل و پشتیبانی از زبان Describe potential shortfalls in CodeQL via a model of compilation and language support

14. ادغام ابزارهای اسکن خارجی 14. Incorporate External Scanning Tools

• توضیح نحوه آپلود نتایج SARIF شخص ثالث از طریق اندپوینت SARIF Explain how to upload third-party SARIF results via the SARIF endpoint

• توضیح هدف از تعریف یک دسته‌بندی SARIF Explain the purpose of defining a SARIF category

• اهداف یادگیری Learning objectives

15. پیاده‌سازی بهترین روش‌های GHAS 15. Implement GHAS Best Practices

• هشدار امنیتی پیشرفته و لیست روش‌های احتمالی رفع آن Advanced security alert and list potential remediation

• توضیح نحوه تنظیم بازه زمانی بررسی با تیم‌های امنیتی در صورت نیاز Explain how to set a review cadence with security teams when appropriate

• استفاده از CVE و CWE برای توصیف هشدار GHAS و لیست روش‌های رفع آن Use a CVE and CWE to describe a GitHub Advanced Security alert and list potential remediation

• تعیین نقش‌ها و مسئولیت‌های تیم‌های توسعه و امنیت در گردش کار توسعه نرم‌افزار Determine the roles and responsibilities of development and security teams on a software development workflow

• استفاده از سیاست‌های امنیتی برای هدایت مشارکت‌کنندگان به جهت ایمن‌تر کردن مخازن Use security policies to instruct all contributors to better secure their repositories

• مقایسه هشدار اسکن کد با سیاست امنیتی مخزن Compare the code scanning alert against the repository's security policy

• اهداف یادگیری Learning objectives

• توضیح فرآیند تصمیم‌گیری برای بستن و رد کردن هشدارهای امنیتی Describe the decision-making process for closing and dismissing security alerts

• همسو کردن پیکربندی حفاظت از شاخه (Branch Protection) با سیاست‌های امنیتی مکتوب Align repository branch protection configuration with written security policies

16. مدیریت امنیت پیشرفته گیت‌هاب 16. Administer GitHub Advanced Security

• اهداف یادگیری Learning objectives

• لیست ذینفعانی که باید در گردش‌های کاری امنیتی فعال شده توسط GHAS حضور داشته باشند List stakeholders that need to be involved in the security workflows enabled by GHAS

• تنظیم سیاست‌های امنیتی برای یک سازمان Set security policies for an organization

• توضیح نحوه تفسیر مجوزها در سراسر یک گردش کار امنیتی Describe how permissions are interpreted throughout a security workflow

• یافتن اندپوینت‌های API برای ویژگی‌های GHAS مانند اسکن اسرار، اسکن کد و Dependabot Locate API endpoints for GHAS features, like secret scanning, code scanning, and Dependabot

• توضیح نحوه فعال‌سازی ویژگی‌های GHAS در GitHub Enterprise Server Explain how GitHub Advanced Security features are enabled on GitHub Enterprise Server

• تنظیم سیاست‌های امنیتی برای یک مخزن Set security policies for a repository

• پیکربندی اسکن کد در یک مخزن یا سازمان با استفاده از گردش کار پیش‌فرض CodeQL Configure code scanning within a repository or organization using the default CodeQL workflow

• شناسایی مراحل ساخت (Build) سفارشی مورد نیاز در یک گردش کار CodeQL Identify the custom build steps necessary in a CodeQL workflow

• توضیح نحوه فعال‌سازی ویژگی‌های GHAS برای یک سازمان Explain how GitHub Advanced Security features are enabled for an organization

جمع‌بندی Conclusion

• خلاصه Summary