Métricas del tablero
En información general sobre la seguridad, el panel de información general muestra las métricas de alertas de seguridad para su organización. Puedes usar el panel para supervisar el estado de tu programa de seguridad de aplicaciones, colaborar con los equipos de ingeniería y recopilar datos con fines comparativos.
El panel muestra datos de tendencias que rastrean los recuentos de alertas y la actividad a lo largo del tiempo, así como datos instantáneos que reflejan el estado actual. Todos los datos y métricas en el panel cambian a medida que se aplican filtros. De forma predeterminada, el panel muestra todas las alertas de las herramientas GitHub, pero puede usar el filtro de herramientas para mostrar alertas de una herramienta específica (secret scanning, Dependabot, code scanning que usan CodeQL, una herramienta de terceros específica) o todas las herramientas code scanning de terceros. Consulte Filtrar alertas en la información general sobre seguridad.
Los indicadores de tendencia muestran un cambio porcentual en comparación con el período anterior. Por ejemplo:
- 10 alertas esta semana frente a 20 alertas la semana pasada = 50% disminuir
- Una edad media de alerta de 15 días frente a 5 días = 200% aumentar
Filtrado de gravedad de alerta: El panel solo incluye alertas con niveles de gravedad de seguridad: Critical, High, Mediumo Low. Se excluyen las alertas que no son de seguridad (Error, Warningo Note). Esto puede hacer que el recuento del panel sea diferente de los totales de alertas de code scanning. Para obtener más información, vea Alertas de examen de código.
Limitations
Los datos que completan la página de Información general pueden y cambiarán con el tiempo debido a varios factores, como la eliminación de un repositorio o las modificaciones de un aviso de seguridad. Esto significa que las métricas generales para el mismo periodo de tiempo podrían variar si se visualizan en dos momentos diferentes. Para informes de cumplimiento u otros escenarios en los que la consistencia de los datos es crucial, te recomendamos que obtengas los datos de origen del registro de auditoría. Consulte Auditoría de alertas de seguridad.
En la página de información general se realiza un seguimiento de cómo han cambiado las alertas de seguridad a lo largo del tiempo. Sin embargo, cuando se filtra por otro atributo, como el estado del repositorio, se usa el valor actual del atributo, no su valor histórico.
Por ejemplo, el archivado de un repositorio cierra las alertas abiertas que contiene. Si ve la página de información general durante una semana antes de archivar el repositorio:
- Los datos del repositorio solo aparecen si filtra para mostrar repositorios archivados, ya que ese es el estado actual del repositorio.
- Las alertas siguen apareciendo como abiertas, ya que eso refleja su estado en ese momento dado.
Estructura del panel
El panel se divide en tres pestañas, cada una centrada en un objetivo de seguridad diferente:
- Detección: Muestra métricas sobre el estado y la antigüedad de las alertas en su organización, los secretos que se han bloqueado o omitido, y los principales repositorios y vulnerabilidades que suponen el mayor riesgo de seguridad posible.
- Corrección: Muestra métricas sobre cómo se resuelven las alertas y la actividad de alerta a lo largo del tiempo.
- Prevención: Muestra métricas sobre cómo se han evitado y corregido las vulnerabilidades en las solicitudes de incorporación de cambios.
Nota:
A diferencia de las pestañas Detección y corrección que notifican alertas en la rama predeterminada, la pestaña Prevención proporciona información sobre CodeQL las alertas que se encuentran en las solicitudes de incorporación de cambios combinadas.
Métricas de detección
Realice un seguimiento del estado actual de las alertas de seguridad en su organización.
Alertas abiertas a lo largo del tiempo
Muestra el cambio en el número de alertas abiertas durante el período de tiempo que ha elegido. Las alertas se agrupan por gravedad de manera predeterminada. Puede cambiar la forma en que se agrupan las alertas.
- Las nuevas alertas se representan en su fecha de creación.
- Las alertas que existían antes del período de tiempo elegido se representan al principio del período.
- Una vez que una alerta se corrige o se descarta, no se incluye en el gráfico. En su lugar, la alerta se mueve al gráfico de alertas cerradas.
Antigüedad de las alertas
La edad media de todas las alertas que todavía están abiertas al final del período de tiempo elegido.
Fórmula: La antigüedad de cada alerta abierta se calcula restando la fecha en que se creó la alerta a partir de la fecha en que finaliza el período de tiempo elegido y, a continuación, promediando todas las alertas abiertas.
Nota:
Para las alertas reabiertas, la antigüedad se calcula restando la fecha de creación original en lugar de la fecha en que se reabrió la alerta.
Alertas reabiertas
Número total de alertas abiertas que se han vuelto a abrir durante el período de tiempo elegido. Solo se notifican las alertas abiertas al final del período de informe. Esto incluye lo siguiente:
- Alertas que se cerraron antes del período de tiempo elegido y permanecen abiertas al final del período.
- Alertas recién creadas que se cerraron y, a continuación, se volvieron a abrir durante el período de tiempo elegido.
- Alertas abiertas al principio del período de tiempo elegido, pero cerradas y, a continuación, se vuelven a abrir en el mismo período.
Secretos omitidos o bloqueados
Muestra la proporción de secretos omitidos para el total de secretos bloqueados por la protección de inserción.
- Omitido: Se detectaron secretos que se confirmaban de todos modos.
- Bloqueado con éxito: Total bloqueado menos eludido. Se considera que un secreto se ha bloqueado correctamente cuando se ha corregido y no se ha enviado al repositorio.
Haga clic en Ver detalles para ver el secret scanning informe con los mismos filtros y período de tiempo seleccionado.
Para más información sobre las secret scanning métricas de protección de inserción, consulte Visualización de métricas para protección de inserción de secret scanning.
Tabla de análisis de impacto
La tabla de análisis de impacto tiene distintas pestañas que muestran los datos de: "Repositories", "Advisories" y "SAST vulnerabilities".
- Pestaña Repositorios: Muestra los 10 repositorios principales con las alertas más abiertas al final del período de tiempo elegido, clasificados por el número total de alertas abiertas. Para cada repositorio, se muestra el número total de alertas abiertas junto con un desglose por gravedad.
- Pestaña de avisos: Muestra los 10 avisos de CVE que generaron más Dependabot alertas al final del período seleccionado, ordenados por el número total de alertas abiertas. Para cada advertencia, se muestra el número total de alertas abiertas junto con un desglose por gravedad.
- Pestaña de vulnerabilidades de SAST: Muestra las 10 vulnerabilidades de análisis estático de seguridad de aplicaciones (SAST) que generaron más code scanning alertas, ordenadas por el número total de alertas abiertas. Para cada vulnerabilidad, se muestra el número total de alertas abiertas junto con un desglose por gravedad.
Métricas de corrección
Realice un seguimiento de la rapidez y eficacia de las alertas que se resuelven.
Alertas cerradas a lo largo del tiempo
Muestra el cambio en el número de alertas cerradas durante el período de tiempo que ha elegido. Las alertas se agrupan por gravedad de manera predeterminada. Puede cambiar la forma en que se agrupan las alertas. Las alertas cerradas incluyen las alertas de seguridad que se corrigieron o descartaron correctamente antes o durante el periodo elegido.
- Las alertas cerradas durante el período de tiempo se representan en el gráfico en su fecha de cierre.
- Las alertas corregidas o descartadas antes del período de tiempo elegido se representan al principio del período.
Tiempo promedio de corrección
La edad media de todas las alertas que se corrigieron o descartaron durante el período de tiempo elegido. Se excluyen las alertas cerradas como "falso positivo".
Fórmula: La antigüedad de cada alerta cerrada se calcula restando la fecha en que se creó la alerta a partir de la fecha en que la alerta se cerró por última vez durante el período de tiempo elegido y, a continuación, promediando todas las alertas cerradas.
Nota:
Para las alertas reabiertas, la antigüedad se calcula restando la fecha de creación original en lugar de la fecha en que se reabrió la alerta.
Tasa de resolución neta
Velocidad a la que se cierran las alertas. Esta métrica es similar a la medición de la "velocidad de desarrollo" y refleja la rapidez y eficacia con la que se resuelven las alertas.
Fórmula: Número de alertas que se cerraron y permanecieron cerradas durante el período de tiempo elegido ÷ Número de alertas creadas durante el período de tiempo
Nota:
La tasa de resolución neta considera las alertas nuevas y las cerradas durante el periodo elegido. Esto significa que el conjunto de alertas nuevas y el conjunto de alertas cerradas utilizados para el cálculo no se corresponden necesariamente, ya que pueden representar diferentes poblaciones de alertas.
Excluido: Las alertas que se vuelven a abrir y volver a cerrar durante el período de tiempo elegido se omiten.
Gráfico de actividad de alertas
Muestra los flujos de entrada y salida de alertas durante el período de tiempo elegido.
- Barras verdes: Número de nuevas alertas creadas durante el período de tiempo segmentado
- Barras púrpuras: Número de alertas cerradas durante el período de tiempo segmentado
- Línea de puntos azules: Actividad de alertas netas (diferencia entre las alertas nuevas y cerradas)
Métricas de prevención
Realice un seguimiento de las vulnerabilidades detectadas y solucionadas antes de llegar a producción.
Introducidas contra evitadas
Muestra el número acumulado de vulnerabilidades detectadas en el flujo de trabajo del desarrollador frente a las vulnerabilidades introducidas durante el período de tiempo que ha elegido.
- Evitado: Recuento de alertas de solicitud de incorporación de cambios detectadas por CodeQL las que se han corregido para las solicitudes de incorporación de cambios combinadas. Las fechas se basan en la fecha de corrección.
- Introducido: Recuento de nuevas alertas de solicitud de incorporación de cambios detectadas por CodeQL que se descartaron como "Riesgo aceptado" o no se resolveron en el momento en que se combinó la solicitud de incorporación de cambios. Las fechas se basan en la fecha de creación.
Vulnerabilidades corregidas en pull requests
Recuento de alertas de solicitud de incorporación de cambios detectadas por CodeQL o secret scanning con un motivo cercano de "Fixed" que están vinculados a una solicitud de incorporación de cambios combinada.
Alertas de solicitudes de incorporación de cambios fijas con sugerencias de Autofijo de Copilot
Muestra la proporción de sugerencias aceptadas Autofijo de Copilot del número total de sugerencias Autofijo de Copilot en alertas de solicitud de extracción detectadas por code scanning.
Autofijo de Copilot para code scanning proporciona recomendaciones específicas para ayudarle a corregir las alertas de code scanning. Consulte Tarjeta de la aplicación: funciones de IA de GitHub para seguridad y calidad.