Oppstartssjekkliste: nåbarhet, sikkerhetsrettelser og kjent utnyttet
Sikkerhet › Oversikt (/<org>/_admin/security/overview) starter med et sjekklistekort for eiere av organisasjonen. Det viser hva nåbarhet, sikkerhetsrettelser og triagering av kjent utnyttede sårbarheter trenger fra organisasjonen din. Hvert punkt beregnes ut fra organisasjonens nåværende tilstand hver gang siden lastes. Det registrerer aldri bare at du har sett på det.
Hvert punkt forteller hva det er, hvorfor det betyr noe og hva tilstanden er nå, og gir én lenke. Et merke markerer det som Ferdig, Krever handling, Sjekk dette eller Valgfritt. Overskriften teller punktene som ikke trenger noe mer fra deg.
Punktene
| Punkt | Nåværende tilstand | Lenke |
|---|---|---|
| Skannedekning | Hvor mange repositoryer som har en skannet standardbranch, hvor mange av dem det er funnet avhengigheter i, og opptil tre som ikke viser noen: No dependencies found. Et repository uten låsefil eller manifest kan ikke få avhengighetsfunn eller sikkerhetsrettelser. Krever handling så lenge ingen repositoryer er skannet (push kode eller migrer et repository; det skannes når det opprettes), Sjekk dette når hvert skannede repository ikke viser noen avhengigheter. Et repository der materiallisten ikke er indeksert ennå, telles ikke som tomt. | Støttede økosystemer: skanning av avhengigheter |
| Sårbarheter som er kjent utnyttet | Hvor mange åpne avhengighetsfunn som har en CVE som ENISA EUVD eller CISA KEV oppgir som utnyttet i praksis. Krever handling så lenge det finnes minst ett. | Listen Dependencies filtrert på kjent utnyttet |
| Go-binærfiler bygget med symboler | Hvilke imager som har Go-binærfiler bygget med -ldflags=-s. govulncheck kan ikke lese noen symboltabell fra dem, så funnene deres forblir unknown (no_symbol_table). Krever handling så lenge det finnes minst én. Bygg uten -s; -w er greit. | Nåbarhet: årsakene |
| AI-rettelser: din egen AI-leverandør | Not set, Set (og om AI-rettelser er slått på) eller Key rejected når leverandøren avviste nøkkelen sist den ble brukt (HTTP 401 eller 403). | AI-integrasjoner |
| Grenser for sikkerhetsrettelser | Antall åpne pull requests som tillates per repository og antall forespørsler per organisasjon i løpet av 24 timer, og om dette er standardverdiene. Sjekk dette når en grense er 0, noe som slår av AutoFix. En pull request med en rettelse åpnes bare når noen klikker Åpne PR med rettelse, med mindre automatiske sikkerhetsrettelser er slått på. | Grenser for sikkerhetsrettelser |
| Varsler: nylig nåbare eller kjent utnyttet | På eller av for organisasjonen, med en knapp for å endre det. | Funnvarsler |
| SLA multiplier for not-reachable findings | Av, eller på med faktoren sin. Valgfritt. | SLA for utbedring |
| Do not block on not-reachable findings | Av, på for alle repositoryer eller på for et antall repositoryer. Valgfritt. | Policyen |
| Automatiske sikkerhetsrettelser | Av eller på: på når modusen for sikkerhetsrettelser er en av de automatiske. En organisasjon som er opprettet 2026-10-27 eller senere, starter med den på (Automatisk for kritiske og kjent utnyttede). Valgfritt. | Automatiske sikkerhetsrettelser |
| Bidra med anonyme tall | Av (standard) eller på. Valgfritt: av trenger ikke noe mer fra deg. | Anonyme tellinger |
Skannedekning tilbyr også Prøv det på et eksempelrepository: den kopierer fremforges sikkerhetseksempel inn i organisasjonen, slik at du kan se funn og en sikkerhetsrettelse før du pusher din egen kode. Eksempelet telles aldri som dekning, og funnene vises bare i konsollen.
Et valgfritt punkt som er av, er ikke et problem; det telles som at det ikke trenger noe mer fra deg.
Skjule den
Skjul sjekklisten slår sammen kortet til én linje for alle i organisasjonen, med en knapp, Vis sjekklisten, som åpner det igjen. Tilstanden beregnes på nytt når kortet vises, så den er alltid oppdatert. Skjuling og visning revideres som code-security.checklist.updated.
API
GET /_app/api/v1/orgs/{org}/security/checklist (policy:read) returnerer sjekklisten slik kortet beregner den nå: dismissed, complete, total og items, hvert med sin id, sin status (done, todo, optional eller warn) og faktaene bak, for eksempel open for known_exploited, max_open_per_repo for autofix_limits, eller scanned_repos, with_dependencies, no_dependencies og no_dependency_examples for scan_coverage. PUT med {"dismissed": true} eller false (policy:write) skjuler eller viser kortet.
Revisorer
En revisor med lesetilgang ser kortet. Knappene avvises for revisorer, som alle endringer.
Se også
- Sikkerhetsoppsummering: utfall av sikkerhetsrettelser og ukens nylig nåbare og kjent utnyttede funn.
- Funnvarsler.