GitHub Code Security permet aux développeurs et aux développeuses de sécuriser leur code sans compromettre la rapidité. Grâce à l’analyse statique intégrée, à la remédiation alimentée par l’IA, à l’analyse avancée des dépendances et à la gestion proactive des vulnérabilités, les équipes peuvent détecter, hiérarchiser et remédier automatiquement aux problèmes de sécurité, le tout au sein de leur workflow GitHub existant, ce qui leur permet de livrer des logiciels sécurisés plus rapidement et en toute confiance.

Copilot Autofix utilise des suggestions de code alimentées par l’IA pour corriger automatiquement les vulnérabilités de sécurité identifiées par CodeQL. Lorsqu’une vulnérabilité de sécurité est détectée, Copilot Autofix analyse le contexte du code, identifie le problème de sécurité sous-jacent et génère une correction précise et adaptée au contexte. Cette fonctionnalité comble le fossé entre la détection des vulnérabilités et leur remédiation, permettant ainsi aux développeurs et aux développeuses d’examiner et d’appliquer les corrections suggérées par l’IA directement au sein de leur workflow.

Les campagnes de sécurité offrent un framework structuré pour planifier, suivre et mettre en œuvre des correctifs de sécurité à travers plusieurs repos et équipes, ce qui vous permet de réduire systématiquement la dette de sécurité. Grâce aux campagnes de sécurité, les équipes de sécurité peuvent regrouper les vulnérabilités connexes, hiérarchiser les efforts de remédiation, attribuer les responsabilités et suivre les progrès via un tableau de bord unifié. Les campagnes de sécurité peuvent être organisées par type de vulnérabilité, initiative de sécurité, exigence de conformité ou tout autre regroupement logique afin de coordonner les améliorations de sécurité à grande échelle.

La révision des dépendances analyse les pull requests afin de détecter les dépendances vulnérables avant qu’elles ne soient intégrées à votre base de code. Elle évalue l’impact sur la sécurité des modifications apportées aux dépendances, en identifiant les packages vulnérables et leur niveau de gravité, afin d’empêcher l’intégration de problèmes de sécurité. L’outil affiche les modifications détaillées des dépendances en comparant les branches « base » et « head », et met en évidence les dépendances ajoutées, supprimées et mises à jour, ainsi que leurs vulnérabilités connues.

Les alertes Dependabot intègrent désormais le système de notation de prédiction d’exploitation (EPSS) mis au point par le Forum mondial des équipes d’intervention en cas d’incident et de sécurité (FIRST), ce qui permet de mieux évaluer les risques liés aux vulnérabilités. L’EPSS aide les organisations à hiérarchiser la remédiation des vulnérabilités en prédisant la probabilité qu’une vulnérabilité soit exploitée au cours des 30 prochains jours. Il fournit un score compris entre 0 et 1 (0-100 %), ainsi qu’un classement par centile indiquant comment la vulnérabilité se situe par rapport aux autres.

L’évaluation du risque Code Security Risk Assessment est une évaluation gratuite qui analyse les repos pour identifier les vulnérabilités potentielles au niveau du code et mettre en évidence les endroits où GitHub Code Security peut aider à améliorer la posture de sécurité.