Présentation
La prévention des incidents de sécurité est moins coûteuse et moins perturbatrice que la réponse à ces incidents. En améliorant de manière proactive votre environnement GitHub, vous réduisez votre exposition aux menaces telles que les informations d’identification exploitées, l’accès non autorisé et les attaques de chaîne logistique.
Ce guide se concentre principalement sur les mesures de protection que vous pouvez appliquer dans des organisations qui font partie d'une entreprise sur GitHub Enterprise Cloud. Pour la version d’évaluation GitHub Enterprise Cloud, consultez Configuration d’une version d’évaluation de GitHub Enterprise Cloud.
De nombreuses fonctionnalités de sécurité mentionnées ici, telles que les configurations de sécurité, les ensembles de règles de branche et les contrôles d’accès, peuvent être configurées au niveau de GitHubl’organisation ou au niveau de l’entreprise.
Actions immédiates
Il s’agit d’actions à fort impact que vous pouvez effectuer pour établir une base de référence de sécurité au sein d’une organisation.
- Établir une couverture de sécurité
- Renforcer les contrôles
- Examiner et restreindre l’accès
- Exécuter une évaluation des risques de confidentialité
Établir une couverture de sécurité
Assurez-vous que les outils GitHubGitHub Advanced Security sont actifs dans tous les référentiels. Au lieu d’activer les outils un par un, vous pouvez créer et appliquer une configuration de sécurité, qui est une collection de paramètres de sécurité qui peuvent être appliqués aux référentiels au sein de votre organisation ou de votre entreprise en une seule action.
Une configuration forte peut inclure :
- Secret scanning et la protection des pushs pour détecter les secrets déjà commités dans votre base de code et empêcher que de nouveaux secrets soient poussés. Les informations d’identification divulguées sont l’une des causes les plus courantes des violations de sécurité.
- Code scanning pour identifier les vulnérabilités et les erreurs de codage dans votre code source avant qu’elles atteignent la production.
- Dependabot alerts et Dependabot security updates pour vous avertir des vulnérabilités connues et des programmes malveillants dans vos dépendances et ouvrir automatiquement des demandes de tirage pour mettre à jour les dépendances vulnérables.
Reportez-vous à Création d’une configuration de sécurité personnalisée (organisations) et Création d’une configuration de sécurité personnalisée pour votre entreprise (entreprises).
Renforcer les contrôles
GitHub vous offre une gamme de contrôles qui régissent ce qui peut se produire dans vos référentiels et votre organisation. S’assurer que ces contrôles sont configurés de manière appropriée est essentiel pour réduire les risques.
Protéger les branches critiques avec des ensembles de règles
Les ensembles de règles vous permettent de définir des règles de protection pour les branches et les étiquettes dans un ou plusieurs référentiels. Utilisez-les pour appliquer des exigences telles que les révisions de pull request et les contrôles de statut, comme des analyses de sécurité automatisées. Cela peut empêcher les modifications non autorisées d’atteindre le code de production, y compris les modifications des comptes compromis.
Reportez-vous à Création d'ensembles de règles pour les dépôts de votre organisation (organisations) et Application de la gouvernance du code dans votre entreprise avec des ensembles de règles (entreprises).