Checklist: bereikbaarheid, beveiligingsfixes en bekend misbruik
Beveiliging › Overzicht (/<org>/_admin/security/overview) begint voor eigenaren van de organisatie met een checklistkaart. Die laat zien wat bereikbaarheid, beveiligingsfixes en de triage van bekend misbruikte kwetsbaarheden van je organisatie nodig hebben. Elk punt wordt bij elke keer dat de pagina laadt opnieuw berekend uit de huidige toestand van je organisatie. Het legt nooit alleen vast dat je ernaar hebt gekeken.
Elk punt zegt wat het is, waarom het ertoe doet en wat de huidige toestand is, en geeft één link. Een badge markeert het als Klaar, Actie nodig, Controleer dit of Optioneel. De kop telt de punten die niets meer van je nodig hebben.
De punten
| Punt | Huidige toestand | Link |
|---|---|---|
| Scandekking | Hoeveel repository’s een gescande standaardbranch hebben, bij hoeveel daarvan afhankelijkheden zijn gevonden, en tot drie die er geen tonen: Geen afhankelijkheden gevonden. Een repository zonder lockfile of manifest kan geen bevinding in een afhankelijkheid en geen beveiligingsfix krijgen. Actie nodig zolang er nog geen enkele repository is gescand (push code of migreer een repository; het wordt gescand zodra het is aangemaakt), Controleer dit wanneer geen enkele gescande repository afhankelijkheden toont. Een repository waarvan de stuklijst nog niet is geïndexeerd, telt niet als leeg. | Ondersteunde ecosystemen: scannen van afhankelijkheden |
| Kwetsbaarheden bekend als misbruikt | Hoeveel openstaande bevindingen in afhankelijkheden een CVE hebben die door ENISA EUVD of CISA KEV als in het wild misbruikt wordt vermeld. Actie nodig zolang er minstens één is. | De lijst met afhankelijkheden, gefilterd op bekend misbruikt |
| Go-binaries gebouwd met symbolen | Welke images Go-binaries bevatten die zijn gebouwd met -ldflags=-s. govulncheck leest daar geen symbooltabel uit, dus hun bevindingen blijven unknown (no_symbol_table). Actie nodig zolang er minstens één is. Bouw zonder -s; -w is prima. | Bereikbaarheid: de redenen |
| AI-fixes: je eigen AI-provider | Niet ingesteld, Ingesteld (en of AI-fixes aanstaan), of Sleutel geweigerd wanneer de provider de sleutel bij het laatste gebruik weigerde (HTTP 401 of 403). | AI-integraties |
| Limieten voor beveiligingsfixes | Het aantal openstaande pull requests dat per repository is toegestaan en het aantal aanvragen per organisatie in 24 uur, en of dat de standaardwaarden zijn. Controleer dit wanneer een limiet 0 is, wat AutoFix uitzet. Een pull request met een fix opent alleen als iemand op Fix-PR openen klikt, tenzij automatische beveiligingsfixes aanstaan. | Limieten voor beveiligingsfixes |
| Meldingen: nieuw bereikbaar of bekend als misbruikt | Aan of uit voor de organisatie, met een knop om dat om te zetten. | Meldingen over bevindingen |
| SLA-factor voor niet-bereikbare bevindingen | Uit, of aan met de factor. Optioneel. | Hersteltermijn (SLA) |
| Niet blokkeren bij niet bereikbaar | Uit, aan voor elke repository, of aan voor een aantal repository’s. Optioneel. | Het beleid |
| Automatische beveiligingsfixes | Uit of aan: aan wanneer de modus van beveiligingsfixes een van de automatische is. Een organisatie die op of na 2026-10-27 is aangemaakt, begint met aan (Automatisch voor kritieke en bekend misbruikte). Optioneel. | Automatische beveiligingsfixes |
| Anonieme aantallen bijdragen | Uit (de standaard) of aan. Optioneel: uit heeft niets meer van je nodig. | Anonieme aantallen |
Scandekking biedt ook Probeer het met een voorbeeldrepository: dat kopieert de beveiligingsvoorbeeldrepository van fremforge naar de organisatie, zodat je bevindingen en een beveiligingsfix kunt zien voordat je eigen code pusht. Het voorbeeld telt nooit mee voor de dekking, en de bevindingen ervan verschijnen alleen in de console.
Een optioneel punt dat uitstaat, is geen probleem; het telt als een punt dat niets meer van je nodig heeft.
Verbergen
Checklist verbergen klapt de kaart voor iedereen in de organisatie in tot één regel, met een knop Checklist tonen die haar weer opent. De toestand wordt opnieuw berekend wanneer de kaart wordt getoond, dus ze is altijd actueel. Verbergen en tonen worden in de auditlog vastgelegd als code-security.checklist.updated.
API
GET /_app/api/v1/orgs/{org}/security/checklist (policy:read) geeft de checklist terug zoals de kaart haar nu berekent: dismissed, complete, total en de items, elk met zijn id, zijn status (done, todo, optional of warn) en de feiten erachter, bijvoorbeeld open voor known_exploited, max_open_per_repo voor autofix_limits, of scanned_repos, with_dependencies, no_dependencies en no_dependency_examples voor scan_coverage. PUT met {"dismissed": true} of false (policy:write) verbergt of toont de kaart.
Auditors
Een auditor met alleen leesrechten ziet de kaart. De knoppen worden voor auditors geweigerd, net als elke wijziging.
Zie ook
- Beveiligingssamenvatting: de uitkomsten van beveiligingsfixes en de bevindingen van de week die nieuw bereikbaar of bekend als misbruikt zijn.
- Meldingen over bevindingen.