简介
在本教程中，您将解释代码安全风险评估结果，并学习如何
- 了解仪表板上的风险指标
- 识别受影响最严重的仓库和语言
- 为修复工作确定漏洞优先级
先决条件
您必须生成代码安全风险评估报告并等待扫描完成。参见 为您的组织运行代码安全风险评估。
步骤 1：了解仪表板指标
评估完成后，查看仪表板顶部的关键指标
- 已扫描的仓库总数：在所选仓库中成功扫描的仓库数量。
- 发现的漏洞总数：在所有已扫描仓库中发现的漏洞总数。
- Copilot 自动修复：符合 Copilot 自动修复条件的漏洞数量。启用 GitHub 代码安全可使用 Copilot 自动修复，它可以自动为这些警报建议修复方案。
步骤 2：按语言查看漏洞
查看 按语言划分的漏洞 图表，以了解代码库中哪些语言贡献了最多的漏洞数量。
如果漏洞集中在某种语言中，这可能表明
- 使用的特定框架或模式导致常见弱点
- 使用该语言的团队可能需要针对性的安全编码指南
步骤 3：识别受影响最严重的仓库
在 已扫描的仓库 表中，您可以看到每个已扫描仓库以及符合 Copilot 自动修复条件的漏洞数占总发现漏洞数的比例。
页面顶部的 最易受漏洞影响的仓库 指标突出显示漏洞数量最高的仓库。这是优先修复时的良好起点。
如果高比例的仓库包含漏洞，这可能表明
- 各团队的安全编码实践存在普遍缺口
- 需要组织层面的工具和防护措施，如代码扫描
如果只有少数仓库包含漏洞，您可以将修复工作集中在特定团队或代码库上。
步骤 4：查看检测到的规则
滚动到 检测到的规则 表，以查看按规则划分的漏洞细节，包括
- 规则：检测到的特定安全问题类别
- 规则严重性：严重性级别（危急、高、中、低）
- 受影响的仓库数：出现此规则违规的不同仓库数量
- 发现的漏洞数：此规则违规在所有仓库中的总次数
表格默认按漏洞数量排序，帮助您识别最常见的问题。请特别关注在多个仓库中出现的 危急 或 高 严重性规则，因为这些风险最高。
步骤 5：优先修复
了解指标后，根据风险对修复工作进行优先级排序。
最高优先级的漏洞是在多个仓库中出现的危急和高严重性规则，因为它们
- 若被利用会产生最大的潜在影响
- 出现在团队正在积极开发的代码中
接下来，处理风险较低或需要更多工作量的漏洞
- 中等和低严重性问题，可能仍有风险，但紧急性较低
- 仅出现在单一仓库的规则，其风险更为局部化
同时关注以下指示器，这可能需要超出单独修复的更广泛干预
- 多个仓库受同一规则影响：表明可能存在系统性模式，需要团队培训或更新编码标准
- 特定语言中的漏洞数量高：可能指向框架层面的问题或该语言缺少扫描工具
后续步骤
要使用 Copilot 自动修复开始修复漏洞，请为您的组织启用 GitHub 代码安全。您有两种选择
- 要为单个仓库启用 GitHub 代码安全，请在“已扫描的仓库”表中点击相应仓库旁的 启用。
- 要在组织范围内启用 GitHub 代码安全，请点击页面顶部的 启用代码安全。在此，您可以选择对所有仓库或特定仓库启用，然后在确认前查看预估费用。