GitHub Application Vulnerability Integration
L’importation GitHub Application Vulnerability Integration de données de test statique de sécurité des applications (SAST) et d’analyse de la composition logicielle (SCA) pour vous aider à afficher les alertes de vulnérabilité dans les référentiels de votre GitHub environnement.
GitHub Application Vulnerability Integration
Le collecte GitHub Application Vulnerability Integration les données du scanner et les met à la disposition du ServiceNow AI Platform®. Il s’intègre facilement à la ServiceNow® Réponse aux vulnérabilités des applications fonctionnalité de mappage des vulnérabilités et GitHub des Réponse aux vulnérabilités alertes tierces dans votre instance.
L’environnement GitHub prend en charge plusieurs organisations. Ces organisations, sur site et en entreprise, peuvent contenir différents départements, tels que l’ingénierie, la qualité, la documentation, etc. Chaque organisation, à son tour, peut prendre en charge plusieurs référentiels.
En règle générale, vous devez d’abord importer des données organisationnelles avec GitHub l’intégration Organisations , puis importer des données pour vos référentiels avec l’intégration GitHub Référentiel afin qu’il importe les données de référentiel pour chaque organisation. L’exécution de ces intégrations dans cet ordre d’exécution n’est toutefois pas obligatoire, car votre environnement peut être configuré différemment.
Après avoir importé les données de votre application avec l’intégration de GitHub référentiels, vous pouvez importer des données de vulnérabilité et d’alerte à partir de ces référentiels. Les données importées sont traitées comme une application dans l’application Réponse aux vulnérabilités des applications . Lorsque les scanners détectent des vulnérabilités et génèrent des alertes pour les référentiels, des vulnérabilités sont créées dans Réponse aux vulnérabilités des applications.
Il existe un utilisateur « Exécuter en tant que » configuré pour chaque enregistrement d’intégration. La valeur par défaut pour cet utilisateur est VR. Système. Ne changez pas cette valeur.
Versions disponibles
| Version | Notes de mise en production |
|---|---|
|
GitHub Application Vulnerability Integration |
Application Vulnerability Response release notes Remarque : Si vous souhaitez utiliser une version de cette application compatible avec Gestion unifiée des expositions de sécurité (USEM), reportez-vous à la section Migration de vers Réponse aux vulnérabilitésGestion unifiée des expositions de sécurité (USEM) pour plus d’informations sur USEM la Gestion unifiée des expositions de sécurité migration. Si vous n’avez pas l’intention d’effectuer une mise à niveau vers , installez une version antérieure à Gestion unifiée des expositions de sécurité v30.x de cette application et pour les mises à niveau vers ses applications d’intégration tierces prises en charge. Pour plus d’informations sur la compatibilité, consultez KB0856498 Changements apportés à la matrice de compatibilité de Réponse aux vulnérabilités et au schéma de mise en production |
Intégrations de GitHub
| Intégration | Description et ServiceNow AI Platform® tables | Notes |
|---|---|---|
| GitHub Intégration d’organisations | Importe GitHub les enregistrements de l’organisation GitHub depuis la table Discovered Organizations (Organisations découvertes) [sn_vul_discovered_org]. |
Si vous souhaitez exécuter cette intégration à l’aide du mode Entreprise pour importer des données pour toutes vos organisations et référentiels dans un environnement d’entreprise, exécutez cette intégration avant d’exécuter les autres GitHub intégrations, car elles dépendent des données organisationnelles actuelles importées à partir de cette intégration. Si vous souhaitez importer uniquement des métadonnées actualisées pour vos organisations et dépôts en mode Organisation , vous n’avez pas besoin d’exécuter cette intégration au préalable. Pour en savoir plus sur la configuration des intégrations, reportez-vous à la section Configurez la GitHub Application Vulnerability Integration.. |
| GitHub Intégration des référentiels | Importe toutes les données d’application pour vos GitHub comptes sur site et dans le cloud (entreprise) dans la table Applications détectées [sn_vul_app_release]. | L’intégration importe les applications à partir des référentiels que vous avez configurés pour une organisation (sur site) ou à partir de votre environnement d’entreprise (cloud). |
| GitHub Intégration de CodeScan | Importe le code analysant les alertes de vulnérabilité des GitHub référentiels pour détecter les vulnérabilités de sécurité et les erreurs de codage dans les tables Applications découvertes [sn_vul_app_release], Entrée de vulnérabilité de l’application [sn_vul_app_vul_entry] et Élément vulnérable de l’application [sn_vul_app_vulnerable_item]. | Les données importées sont mappées aux résultats SAST dans votre instance. |
| GitHub Intégration Dependabot | Importe les alertes Dependabot pour les dépendances avec des vulnérabilités connues à partir des référentiels dans les tables Applications découvertes [sn_vul_app_release], Package [sn_vul_app_package], Entrée de vulnérabilité de l’application [sn_vul_app_vul_entry] et Élément vulnérable de l’application [sn_vul_app_vulnerable_item]. | Les données importées sont mappées aux résultats SCA dans votre instance. |
| GitHub Analyse secrète | Importe les secrets du code de votre organisation ainsi que les résultats des tests de sécurité des applications dans les tables Applications détectées [sn_vul_app_release] et Entrée de vulnérabilité de l’application [sn_vul_app_vul_entry] et Élément vulnérable de l’application [sn_vul_app_vulnerable_item]. | Les données sont mappées aux résultats SCA dans votre instance. Le système mappe les secrets aux éléments vulnérables de l’application (AVIT) avec le type d’analyse Secret et mappe les secrets génériques aux AVIT avec le type d’analyse Secret générique. |
| GitHub Emplacement de l’analyse secrète | Importe l’emplacement et les numéros de ligne des secrets analysés dans le code de votre organisation dans la table Élément vulnérable de l’application [sn_vul_app_vulnerable_item]. | Aide vos développeurs à corriger les vulnérabilités. |
Pour en savoir plus sur les champs sources et le mappage dans votre instance, reportez-vous à la section Mappage de champs pour les GitHub Application Vulnerability Integration intégrations.
Chargement de SBOM fichiers à ServiceNow AI Platform® partir de vos GitHub référentiels
Déterminez si SBOM les fichiers générés dans vos pipelines CI/CD (intégration continue et livraison/déploiement continus) ont été mis en file d’attente avec succès dans votre ServiceNow AI Platform® instance.
- Protégez vos environnements contre les composants potentiellement dangereux pendant les cycles de développement logiciel grâce aux GitHub actions que vous lancez à partir de votre GitHub environnement.
- Obtenez toutes les actions requises GitHub pour SBOM le chargement dans GitHub Marketplace.
Les SBOM applications sont nécessaires pour charger SBOM des fichiers. Consultez Explorer Nomenclature logicielle pour plus d'informations.
Affichage des données importées
Les données d’application importées à partir de l’intégration des référentiels GitHub sont affichées dans la table Applications découvertes [sn_vul_app_release]. Exécutez d’abord cette intégration.
L’intégration des référentiels importe les balises et les rubriques que vous avez configurées pour un référentiel dans votre GitHub compte à partir du menu Paramètres. Toutes les propriétés personnalisées se trouvent dans le menu sous votre référentiel. Les valeurs que vous définissez pour les propriétés sont importées sous forme de paires clé-valeur. Pour plus d’informations sur l’emplacement d’affichage de ces informations dans votre instance, reportez-vous à la section Afficher l’état de l’exécution de l’importation et les GitHub Application Vulnerability Integration données du référentiel importé.
Les données importées (résultats) de l’intégration GitHub Dependabot sont affichées dans les tableaux suivants.
- Applications détectées [sn_vul_app_release].
- Synthèses de numérisation de vulnérabilité de l’application [sn_vul_app_vul_scan_summary].
- Éléments vulnérables de l’application [sn_vul_app_vulnerable_item].
- Packages [sn_vul_app_package].
Les données importées à partir de GitHub CodeScan Integration sont affichées dans les tables suivantes.
- Applications détectées [sn_vul_app_release].
- Synthèses de numérisation de vulnérabilité de l’application [sn_vul_app_vul_scan_summary].
- Entrées de vulnérabilité de l’application [sn_vul_app_vul_entry].
- Éléments vulnérables de l’application [sn_vul_app_vulnerable_item].