Dans cette unité, nous allons aborder les éléments suivants :

• Analyse de secrets (Secret scanning)
• Analyse de code (Code scanning)
• Dependabot
• Créer un cycle de vie de développement logiciel plus sécurisé grâce à ces trois fonctionnalités

Commençons par une brève révision de GHAS.

Qu’est-ce que GHAS ?

GHAS (GitHub Advanced Security) est une solution de sécurité avancée intégrée à GitHub Enterprise. Elle fournit des outils puissants pour détecter les vulnérabilités, protéger les secrets, analyser le code et gérer les dépendances dans les dépôts privés.
Son objectif est d’intégrer la sécurité dès le début du cycle de développement, afin de produire des logiciels plus sûrs, plus fiables et conformes aux bonnes pratiques de sécurité.

GitHub Advanced Security (ou GHAS) est une solution de sécurité applicative qui donne plus de pouvoir aux développeurs.

La sécurité avancée est intégrée directement dans votre flux de travail pour aider à prévenir les vulnérabilités et les fuites d’identifiants, sans ralentir le développement.
GitHub Advanced Security, c’est un peu comme avoir un consultant en sécurité personnel qui examine chaque ligne de code, avec les connaissances d’experts en sécurité du monde entier.

Assurer la sécurité des applications et de la chaîne d’approvisionnement logicielle n’a jamais été aussi crucial.
Selon Gartner, d’ici 2025, 45 % des organisations mondiales seront touchées par une attaque sur leur chaîne d’approvisionnement.
D’après le rapport 2022 de Verizon sur les violations de données, les applications restent l’un des vecteurs d’attaque les plus courants, étant impliquées dans plus de 40 % des fuites de données.

Intégrer la sécurité dans votre processus de développement logiciel peut sembler complexe. C’est pourquoi nous allons examiner trois fonctionnalités clés de GHAS et comment elles aident votre équipe à rester protégée face aux menaces actuelles :

• Analyse de secrets (Secret scanning)
• Analyse de code (Code scanning)
• Dependabot

Analyse de secrets (Secret Scanning)

L’analyse de secrets est une fonctionnalité de sécurité essentielle de GitHub Advanced Security (GHAS), conçue pour identifier et atténuer l’exposition involontaire d’informations sensibles, telles que les clés API et les jetons d’accès présents dans le code source.

Ce processus d’analyse est crucial pour prévenir les accès non autorisés et protéger les données confidentielles.
L’analyse de secrets fonctionne en recherchant des modèles et signatures prédéfinis qui indiquent la présence d’informations sensibles, garantissant que les risques potentiels sont traités rapidement.
Par défaut, l’analyse utilise des modèles très précis fournis par des partenaires GitHub, mais il est également possible de créer des modèles personnalisés pour d’autres cas d’usage.

Les fonctionnalités de l’analyse de secrets incluent :

• Protection lors du push : elle empêche de manière proactive les fuites de secrets en scannant le code au moment du commit et en bloquant le push si un secret est détecté.
• Alertes intégrées : possibilité de visualiser et corriger les alertes directement dans GitHub, sans quitter l’environnement de développement.

Dans un cycle de vie de développement logiciel sécurisé, l’analyse de secrets joue un rôle central en prévenant les fuites involontaires d’informations critiques.
En intégrant cette analyse dès le processus de développement, les équipes peuvent identifier et corriger les secrets exposés rapidement, réduisant ainsi les risques de violations de données et assurant la confidentialité des informations sensibles tout au long du cycle de vie.

Analyse de code (Code Scanning)

L’analyse de code est une fonctionnalité essentielle de GitHub Advanced Security (GHAS) qui permet d’analyser le code source à la recherche de vulnérabilités de sécurité et d’erreurs de programmation.
Elle utilise des techniques d’analyse statique pour détecter des problèmes potentiels tels que :

• les injections SQL,
• les attaques XSS (cross-site scripting),
• ou encore les dépassements de mémoire tampon (buffer overflows).

En fournissant des retours automatisés directement dans le flux de travail des pull requests, l’analyse de code permet aux développeurs de corriger les vulnérabilités dès les premières étapes du développement.

Cette fonctionnalité améliore la sécurité globale d’un projet logiciel en identifiant et en corrigeant les failles avant qu’elles n’atteignent la production.
En adoptant une approche proactive de la sécurité, l’analyse de code :

• réduit l’impact potentiel des menaces,
• améliore la qualité du code,
• et accélère le cycle de développement en diminuant le temps passé à résoudre les problèmes après le déploiement.

Dependabot

Dependabot est un outil automatisé de gestion des dépendances, chargé de maintenir à jour les bibliothèques et frameworks utilisés dans un projet.
Il vérifie régulièrement les mises à jour disponibles et ouvre automatiquement des pull requests pour mettre à jour les dépendances vers leurs versions les plus récentes et sécurisées.

Dependabot contribue à maintenir un environnement de développement sécurisé et stable en corrigeant les vulnérabilités présentes dans les dépendances obsolètes.

Dans un cycle de vie de développement logiciel sécurisé, la gestion des dépendances est essentielle pour réduire les risques liés aux vulnérabilités connues.
Dependabot simplifie le processus de mise à jour, garantissant que les projets bénéficient des derniers correctifs de sécurité et des améliorations disponibles.
En automatisant cet aspect de la sécurité, Dependabot contribue à créer une base résiliente et sécurisée pour l’ensemble du processus de développement.

Avec GitHub Advanced Security, les fonctionnalités de Dependabot sont étendues pour inclure la revue des dépendances (Dependency Review), qui permet de vérifier les dépendances vulnérables dans une pull request.
Cette vérification permet de corriger les vulnérabilités avant qu’elles ne soient fusionnées dans une branche partagée.

Où activer les alertes pour l’analyse de secrets, l’analyse de code et Dependabot

Pour activer l’une de ces alertes au niveau d’un dépôt, commencez par naviguer vers l’onglet « Security » de votre dépôt sur GitHub.

Maintenant que nous avons examiné et activé les trois fonctionnalités clés de GHAS, voyons comment les mettre en œuvre pour créer un cycle de vie de développement logiciel plus sécurisé.

Créer un cycle de vie de développement logiciel plus sécurisé avec les trois fonctionnalités

L’analyse de secrets, l’analyse de code et Dependabot contribuent ensemble à renforcer la sécurité du cycle de développement logiciel :

• L’analyse de secrets empêche l’exposition involontaire d’informations sensibles.
• L’analyse de code identifie et corrige les vulnérabilités dans la base de code.
• Dependabot automatise la gestion des dépendances.

En intégrant ces fonctionnalités, les équipes de développement peuvent traiter les problèmes de sécurité de manière proactive à chaque étape du cycle de développement.
Cette approche proactive réduit la probabilité que des incidents de sécurité atteignent la production, ce qui permet un processus de développement plus résilient, sécurisé et efficace.

L’impact combiné de ces fonctionnalités garantit que la sécurité n’est pas une considération isolée, mais bien une partie intégrante du flux de travail de développement.

Fonctionnalités de sécurité pour les projets open source

Les projets publics sur GitHub bénéficient de certaines fonctionnalités de sécurité par défaut, telles que :

• l’analyse de secrets,
• et les graphiques de dépendances.

GitHub scanne automatiquement les dépôts publics à la recherche de modèles fournis par ses partenaires et envoie des alertes aux administrateurs des dépôts.
Les projets publics peuvent également activer l’analyse de code, Dependabot et la revue des dépendances, sans licence GitHub Advanced Security.

Cependant, ces fonctionnalités sont de base et peuvent ne pas offrir le niveau de protection nécessaire pour des projets plus complexes ou des environnements d’entreprise.

Fonctionnalités de sécurité avec GHAS sur GitHub Enterprise Cloud (GHEC)

Lorsque GitHub Advanced Security (GHAS) est associé à GitHub Enterprise Cloud (GHEC), un ensemble complet de fonctionnalités de sécurité devient disponible pour les projets internes et privés, notamment :

• Analyse de code : recherche de vulnérabilités de sécurité et d’erreurs de codage dans votre code.
• Analyse de secrets : détection de secrets (clés, jetons, etc.) enregistrés dans des dépôts privés.
  • Les alertes pour les utilisateurs et les partenaires sont gratuites pour les dépôts publics sur GitHub.com.
  • Si la protection lors du push est activée, les secrets sont également détectés au moment où ils sont poussés dans le dépôt.
• Revue des dépendances : affiche l’impact complet des modifications apportées aux dépendances et les détails des versions vulnérables avant de fusionner une pull request.

Fonctionnalité	Dépôt public	Dépôt privé sans sécurité avancée	Dépôt privé avec sécurité avancée
Analyse de code	✅	❌	✅
Analyse de secrets	✅	❌	✅
Revue des dépendances	✅	❌	✅