Métricas do painel
Na visão geral de segurança, o painel de visão geral exibe métricas de alerta de segurança para sua organização. Você pode usar o painel para monitorar a integridade do programa de segurança do aplicativo, colaborar com equipes de engenharia e coletar dados para obter parâmetros de comparação.
O painel exibe dados de tendência que rastreiam contagens de alertas e atividades ao longo do tempo, bem como dados de instantâneo que refletem o estado atual. Todos os dados e métricas no painel são alterados à medida que você aplica filtros. Por padrão, o painel exibe todos os alertas de ferramentas GitHub, mas você pode usar o filtro de ferramenta para mostrar alertas de uma ferramenta específica (secret scanning, Dependabot, code scanning usando CodeQL, uma ferramenta de terceiros específica) ou de todas as ferramentas code scanning de terceiros. Consulte Visão geral da filtragem de alertas na segurança.
Os indicadores de tendência mostram uma alteração percentual em relação ao período anterior. Por exemplo:
- 10 alertas esta semana versus 20 alertas na semana passada = 50% diminuir
- Uma idade média de alerta de 15 dias versus 5 dias = 200% aumento
Filtragem de severidade de alerta: O painel inclui apenas alertas com níveis de severidade de segurança: Critical, , High, Mediumou Low. Alertas não de segurança (Errorou Warning``Note) são excluídos. Isso pode fazer a contagem do painel de controle diferir dos totais de alertas code scanning. Para obter mais informações, consulte Alertas de escaneamento de código.
Limitations
Os dados que preenchem a página de visão geral podem e serão alterados ao longo do tempo devido a vários fatores, como exclusão do repositório ou modificações em um aviso de segurança. Isso significa que as métricas de visão geral para o mesmo período de tempo podem variar se exibidas em dois momentos diferentes. Para relatórios de conformidade ou outros cenários em que a consistência dos dados é crucial, recomendamos que você obtenha dados do log de auditoria. Consulte Alertas de segurança de auditoria.
A página de visão geral rastreia como os alertas de segurança foram alterados ao longo do tempo. No entanto, quando você filtra por outro atributo, como o status do repositório, ele usa o valor atual desse atributo, não seu valor histórico.
Por exemplo, o arquivamento de um repositório fecha todos os alertas abertos que ele contém. Se você visualizar a página de visão geral de uma semana antes de arquivar o repositório:
- Os dados do repositório só serão exibidos se você filtrar para mostrar repositórios arquivados, pois esse é o status atual do repositório.
- Os alertas ainda aparecem como abertos, porque isso reflete seu status naquele momento.
Estrutura do painel de controle
O painel é dividido em três guias, cada uma focada em uma meta de segurança diferente:
- Detecção: Mostra métricas sobre o status e a idade dos alertas em sua organização, os segredos que foram bloqueados ou ignorados e os principais repositórios e vulnerabilidades que representam o maior risco potencial de segurança.
- Remediação: Mostra métricas sobre como os alertas são resolvidos e a atividade de alerta ao longo do tempo.
- Prevenção: Mostra métricas sobre como as vulnerabilidades foram evitadas e corrigidas em solicitações de pull.
Observação
Ao contrário das guias Detecção e Correção que relatam alertas no branch padrão, a guia Prevenção fornece insights sobre CodeQL alertas encontrados em solicitações de pull mescladas.
Métricas de detecção
Acompanhe o estado atual dos alertas de segurança em sua organização.
Alertas abertos ao longo do tempo
Mostra a alteração no número de alertas abertos durante o período escolhido. Por padrão, os alertas são agrupados por gravidade. Você pode alterar a forma como os alertas são agrupados.
- Novos alertas são exibidos em sua data de criação.
- Os alertas que existiam antes do período de tempo escolhido são representados no início do período.
- Depois que um alerta é corrigido ou descartado, ele não é incluído no gráfico. Em vez disso, o alerta é movido para o gráfico de alertas encerrados.
Idade dos alertas
A idade média de todos os alertas que ainda estão abertos no final do período escolhido.
Fórmula: A idade de cada alerta aberto é calculada subtraindo a data em que o alerta foi criado a partir da data em que o período de tempo escolhido termina e, em seguida, a média entre todos os alertas abertos.
Observação
Para alertas reabertos, a idade é calculada subtraindo a data de criação original em vez da data em que o alerta foi reaberto.
Reabrir alertas
O número total de alertas abertos que foram reabertos durante o período escolhido. Somente os alertas abertos no final do período do relatório são relatados. Isso inclui:
- Alertas que foram fechados antes do período de tempo escolhido e permanecem abertos no final do período.
- Alertas recém-criados que foram fechados e reabertos durante o período de tempo escolhido.
- Alertas que estavam abertos no início do período de tempo escolhido, mas fechados e depois reabertos dentro do mesmo período.
Segredos ignorados ou bloqueados
Mostra a proporção de segredos contornados em relação ao total de segredos bloqueados pela proteção contra push.
- Ignorada: Segredos detectados que foram confirmados de qualquer maneira.
- Bloqueado com sucesso: Total bloqueado menos os ignorados. Considera-se que um segredo foi bloqueado com êxito quando foi corrigido e não confirmado no repositório.
Clique em Exibir detalhes para exibir o secret scanning relatório com os mesmos filtros e período de tempo selecionados.
Para obter mais informações sobre secret scanning métricas de proteção contra push, consulte Exibindo métricas para proteção de secret scanning push.
Tabela de análise de impacto
A tabela de análise de impacto tem guias separadas mostrando dados para: "Repositories", "Advisories" e "SAST vulnerabilities".
- Guia Repositórios: Mostra os 10 principais repositórios com os alertas mais abertos no final do período de tempo escolhido, classificados pelo número total de alertas abertos. Para cada repositório, o número total de alertas abertos é mostrado com uma divisão por gravidade.
- Guia Avisos: Mostra os 10 avisos CVE que dispararam mais Dependabot alertas no final do período de tempo escolhido, classificados pelo número total de alertas abertos. Para cada aviso, o número total de alertas abertos é mostrado com uma classificação de gravidade.
- Guia vulnerabilidades SAST: Mostra as 10 vulnerabilidades de SAST (Teste de Segurança de Aplicativo Estático) que dispararam a maioria code scanning dos alertas, classificadas pelo número total de alertas abertos. Para cada vulnerabilidade, o número total de alertas abertos é exibido juntamente com uma classificação de gravidade.
Métricas de correção
Acompanhe a rapidez e a eficácia dos alertas resolvidos.
Alertas fechados ao longo do tempo
Mostra a alteração no número de alertas fechados durante o período escolhido. Por padrão, os alertas são agrupados por gravidade. Você pode alterar a forma como os alertas são agrupados. Os alertas fechados incluem alertas de segurança que foram corrigidos ou descartados com êxito antes ou durante o período de tempo escolhido.
- Os alertas fechados durante o período de tempo são representados no grafo na data de fechamento.
- Os alertas corrigidos ou ignorados antes do período de tempo escolhido são representados no início do período.
MTTR (tempo médio para corrigir).
A idade média de todos os alertas que foram corrigidos ou descartados durante o período escolhido. Os alertas que foram fechados como "falso positivo" são excluídos.
Fórmula: A idade de cada alerta fechado é calculada subtraindo a data em que o alerta foi criado a partir da data em que o alerta foi fechado pela última vez durante o período de tempo escolhido e, em seguida, em média em todos os alertas fechados.
Observação
Para alertas reabertos, a idade é calculada subtraindo a data de criação original em vez da data em que o alerta foi reaberto.
Taxa de resolução líquida
A taxa em que os alertas estão sendo fechados. Essa métrica é semelhante à medição da "velocidade do desenvolvedor", refletindo a velocidade e a eficiência com que os alertas são resolvidos.
Fórmula: Número de alertas que foram fechados e permaneceram fechados durante o período escolhido ÷ Número de alertas criados durante o período
Observação
A taxa de resolução líquida leva em consideração todos os alertas novos e todos os alertas fechados durante o período selecionado. Isso significa que o conjunto de novos alertas e o conjunto de alertas fechados utilizados para o cálculo não correspondem necessariamente, uma vez que podem representar diferentes populações de alertas.
Excluídos: Os alertas reabertos e re-fechados durante o período de tempo escolhido são ignorados.
Gráfico de atividade de alerta
Mostra as entradas e saídas de alertas no período selecionado.
- Barras verdes: Número de novos alertas criados durante o período segmentado
- Barras roxas: Número de alertas fechados durante o período segmentado
- Linha pontilhada azul: Atividade líquida de alertas (diferença entre alertas novos e fechados)
Métricas de prevenção
Acompanhe as vulnerabilidades identificadas e corrigidas antes de chegar à produção.
Introduzidas versus impedidas
Mostra o número cumulativo de vulnerabilidades que foram capturadas no fluxo de trabalho do desenvolvedor em comparação com as vulnerabilidades introduzidas ao longo do período de tempo escolhido.
- Prevenidos: Número de alertas de pull request detectados por CodeQL que foram corrigidos em pull requests mesclados. As datas se baseiam na data da correção.
- Introduzido: Contagem de novos alertas de solicitação de pull detectados por CodeQL que foram descartados como "Risco aceito" ou não foram resolvidos no momento em que a solicitação de pull foi mesclada. As datas são baseadas na data de criação.
Vulnerabilidades corrigidas em solicitações de pull
A contagem de alertas de solicitação de pull detectados por CodeQL ou secret scanning com um motivo próximo de "Corrigido" que estão vinculados a uma solicitação de pull mesclada.
Alertas de solicitação de pull corrigidos com sugestões Autofixo do Copilot
Mostra a proporção de sugestões aceitas Autofixo do Copilot em relação ao número total de sugestões Autofixo do Copilot em alertas de pull request detectados por code scanning.
Autofixo do Copilot para code scanning fornece recomendações direcionadas para ajudar você a corrigir os alertas de code scanning. Consulte Cartão do aplicativo: recursos de IA do GitHub para segurança e qualidade.