Lancez une première analyse d’un dépôt GitHub connecté avec Codex Security Cloud, puis examinez les problèmes signalés. Vous pourrez ensuite activer la surveillance des nouveaux commits.
Codex Security Cloud exécute les analyses dans Codex Cloud. Pour analyser un dépôt local depuis l’application de bureau ChatGPT ou la CLI, utilisez le plugin Codex Security, qui s’installe séparément.
Avant de commencer
Utilisez un espace de travail qui a accès à Codex Security Cloud et dans lequel Codex Cloud est configuré. Vous devez avoir l’autorisation de connecter le dépôt GitHub à analyser. Vous pouvez créer l’environnement cloud du dépôt pendant la configuration.
Si le plugin est indisponible, vérifiez vos droits d’accès auprès de l’administrateur de votre espace de travail. Si un dépôt ne figure pas dans le sélecteur de dépôts, utilisez Configurer l’accès pour vérifier à quelle organisation et à quels dépôts l’application GitHub a accès. Si vous ne pouvez pas accorder cet accès, demandez à votre administrateur GitHub d’ajouter le dépôt.
1. Installez et ouvrez le plugin
- Ouvrez Plugins dans la version web de ChatGPT ou dans l’application de bureau ChatGPT.
- Recherchez Codex Security Cloud dans la Marketplace de plugins.
- Installez et activez le plugin, puis ouvrez Security Cloud depuis la liste des plugins installés ou la barre latérale.
2. Connectez GitHub
Vérifiez que Codex Cloud est configuré pour votre espace de travail. Dans le plugin, sélectionnez Analyser. Si le plugin vous y invite, sélectionnez Connecter GitHub et connectez-vous avec votre propre compte GitHub. Chaque personne qui lance des analyses doit connecter son propre compte et avoir accès au dépôt.
Codex Security Cloud ne prend pas en charge les connexions au niveau de l’espace de travail.
3. Lancez l’analyse d’un dépôt
- Dans Nouvelle analyse, choisissez le dépôt.
- Vérifiez l’environnement. L’option Auto crée un environnement au lancement de l’analyse. Utilisez Personnaliser pour choisir un environnement existant. Pour en savoir plus sur la configuration, consultez la documentation sur les environnements Codex Cloud.
- Sous Méthode d’analyse, sélectionnez Analyse ponctuelle.
- Sélectionnez Créer.
Ouvrez l’analyse dans Analyses pour suivre sa progression. Attendez la fin de l’analyse, puis vérifiez le statut indiqué et la cible avant d’interpréter les problèmes signalés. En cas d’échec ou d’annulation, considérez les résultats disponibles comme ceux d’une analyse incomplète.
4. Examinez les problèmes signalés et les correctifs disponibles
Ouvrez Problèmes signalés. Utilisez Problèmes ouverts pour examiner les problèmes dont le statut est Nouveau, Trié ou En cours. Effectuez une recherche dans la liste ou utilisez les Filtres pour affiner les résultats. Le graphique Gravité et statut présente la répartition des problèmes correspondant à vos critères.
Filtrez et examinez les problèmes ouverts. Les dépôts, les problèmes signalés et les chiffres présentés sont fictifs.
Ouvrez un problème depuis l’analyse ou depuis Problèmes signalés. Examinez le code et la révision concernés, le chemin qu’un attaquant pourrait emprunter et les éléments de preuve issus de la validation. Prenez connaissance des hypothèses qui restent à vérifier avant de déterminer si le problème concerne effectivement le dépôt. Une analyse qui ne signale aucun problème ne garantit pas que le dépôt est exempt de vulnérabilités.
Si un problème signalé dans un dépôt propose l’option Corriger avec Codex, sélectionnez-la pour ouvrir une conversation dans laquelle Codex vérifie si le problème se manifeste dans la version actuelle du code, applique un correctif et exécute les tests pertinents. Examinez les modifications et les résultats des tests dans cette conversation.
Pour les problèmes détectés lors de la surveillance des commits, un correctif peut être proposé directement. Examinez-le avant de sélectionner Créer un brouillon de pull request. Ces actions ont des effets différents. Suivez la procédure indiquée pour le problème concerné.
5. Surveillez les nouveaux commits
Après avoir examiné les résultats de la première analyse, vous pouvez surveiller les modifications à mesure que de nouveaux commits arrivent :
- Sélectionnez Analyser, puis choisissez le dépôt et vérifiez l’environnement.
- Sous Méthode d’analyse, sélectionnez Analyse continue. Codex Security analyse la branche par défaut du dépôt.
- Sous Analyser l’historique des commits à partir du, choisissez la période à analyser. Une période plus longue fournit davantage de contexte, mais prolonge l’analyse initiale.
- Si vous le souhaitez, ajoutez des consignes pour délimiter le périmètre du modèle de menace.
- Sélectionnez Créer.
Configurez l’analyse continue. Le dépôt présenté est fictif.
Pour ajuster la surveillance, ouvrez Dépôts, sélectionnez le dépôt, puis ouvrez les Paramètres de surveillance. Vous pouvez changer d’environnement cloud, choisir le nombre de jours d’historique à analyser et suspendre ou activer la surveillance. Sélectionnez Enregistrer pour appliquer les modifications.
Le propriétaire de l’analyse, les personnes disposant de droits de modification et les administrateurs de Codex Security peuvent modifier les paramètres de surveillance. Toute modification, y compris la suspension de la surveillance, s’applique à la configuration partagée de ce dépôt et concerne donc tous ses utilisateurs dans l’espace de travail. Si vous ne pouvez pas modifier cette configuration, adressez-vous au propriétaire de l’analyse ou à un administrateur de Codex Security.
Examinez le modèle de menace généré dans les Paramètres de surveillance et complétez-le avec les informations sur le déploiement ou la sécurité qui ne ressortent pas du code. Consultez la page Améliorer le modèle de menace.
Pour toute question sur les builds, la validation ou l’interprétation des résultats, consultez la FAQ Cloud. Pour examiner des pull requests GitHub, utilisez Security Review.