Uw Java-toepassingen beveiligen met GitHub Copilot modernisering

Het moderniseren van uw Java toepassing is geen eenmalige gebeurtenis. Nieuwe CVE’s worden dagelijks gepubliceerd, er duiken nieuwe CWE-bevindingen op naarmate uw code zich ontwikkelt, en afhankelijkheden raken na verloop van tijd niet langer compliant. Het beveiligen van de toepassing houdt in dat continu beveiligingsschuld wordt gedetecteerd en opgelost . Dit is de groenblijvende manier om na te denken over toepassingsbeveiliging.

GitHub Copilot modernisering helpt u met twee mogelijkheden:

• Beveiligingsevaluatie : scant uw code op CWE-bevindingen die worden geleid door ISO/IEC 5055 en op CVE-beveiligingsproblemen in uw directe en transitieve afhankelijkheden.
• Codeherstel : genereert een uitvoeringsplan om de geselecteerde problemen op te lossen en past de oplossingen voor u toe.

U vindt deze mogelijkheden in:

• Visual Studio Code - interactieve scan en oplossing, die in dit artikel wordt besproken.
• CLI moderniseren : beveiliging is een van de evaluatiedomeinen in batchevaluatie, zodat u een portfolio met toepassingen in één uitvoering kunt scannen.

Beveiligingsproblemen in Visual Studio Code scannen en oplossen

Volg deze stappen om beveiligingsproblemen in één stroom te beoordelen en op te lossen.

1. De beveiligingsscan starten

Open in het deelvenster GitHub Copilot modernisatie de weergave Quick Start en selecteer Scannen en beveiligingsproblemen oplossen.

Copilot voert een evaluatie van het beveiligingsdomein uit via uw project. In de scan wordt het volgende behandeld:

• Een samengestelde set CWE-regels die zijn afgestemd op ISO/IEC 5055, gegroepeerd in zes categorieën: Bestands- en padbeveiliging, injectieaanvallen, geheugenveiligheid, codekwaliteit, referenties & geheimen en gelijktijdigheid & synchronisatie.
• CVE-bevindingen in uw directieve en transitieve afhankelijkheden, afkomstig uit de GitHub Security Advisories-database.

Zie De beoordelingsdekking begrijpen voor de volledige catalogus met CWE-regels en de details van de CVE-dekking.

2. Bekijk het rapport

Wanneer de scan is voltooid, wordt het evaluatierapport geopend met de beveiligingsresultaten.

Om te bepalen welke CVE's naar voren komen, stelt u in de beoordelingsconfiguratie Beveiliging: Minimale CVE-ernst in. Geaccepteerde waarden zijn critical, highen medium; lowde standaardwaarde is high.

3. Kies de problemen om een plan op te lossen en te maken

Selecteer de probleemcategorieën die u wilt oplossen. De actieknop wordt bijgewerkt om het aantal weer te geven, bijvoorbeeld Plan maken (3). Selecteer het om een uitvoeringsplan te genereren.

4. Bekijk het plan

Copilot schrijft het uitvoeringsplan als een Markdown-bestand en opent het in het voorbeeldvenster, zodat u het kunt lezen voordat een oplossing wordt toegepast. In het plan wordt beschreven hoe Copilot de geselecteerde problemen groepeert en aanpakt. Het groepeert CVE-problemen op basis van afhankelijkheid en CWE-bevindingen per bestand. Als u het bereik of de volgorde wilt wijzigen, bewerkt u het Markdown-bestand rechtstreeks.

5. Het plan uitvoeren

Wanneer u tevreden bent met het plan, laat u Copilot in de chat weten om het uit te voeren. Copilot lost de geselecteerde problemen groep voor groep op, bouwt het project om elke wijziging te valideren en rapporteert de voortgang in de chat. Bekijk de resulterende verschillen en voer de wijzigingen door die u wilt behouden.

Blijf toekomstbestendig

Beveiligingsachterstand duikt opnieuw op naarmate er nieuwe CVE’s worden gepubliceerd en uw applicatie verandert. Voer Beveiligingsproblemen scannen en oplossen opnieuw uit als onderdeel van uw reguliere moderniseringsritme - bijvoorbeeld voor elke releasebranch - zodat u problemen voortdurend opspoort en oplost in plaats van ze te laten opstapelen tot één grote upgrade.

Volgende stappen 

• Meer informatie over evaluatiedekking : volledige catalogus met CWE-regels en CVE-dekkingsgegevens.
• Werken met evaluatie
• Batch-evaluatie met de GitHub Copilot moderniseringsagent