Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

GitHub code scanning facilita l’analisi delle vulnerabilità

Gen 17, 2023 Marina Londei News, Prodotto, RSS, Vulnerabilità 0

GitHub ha rilasciato code scanning, una funzionalità di sicurezza che permette di analizzare il codice di un repository per identificare vulnerabilità ed errori. La feature è in grado anche di dare una priorità ai problemi e prevenirne di futuri tramite un sistema di alert puntuali sul codice.

Usato in combinazione con CodeQL, code scanning può eseguire analisi automatizzate del codice in diversi repository. Attualmente può essere usato solo con la configurazione di default che genera query CodeQL, trigger ed eventi in base al contenuto del repository. In futuro GitHub prevede di rendere personalizzabile la configurazione: gli utenti potranno modificare le query e le azioni da intraprendere in base alle proprie esigenze.

Una volta abilitata, la funzionalità scansiona in automatico il codice ogni volta che si verifica uno dei trigger configurati che nella configurazione di default sono eventi di push e pull sui branch flaggati come “protected”.

CodeQL per il code scanning di GitHub

La funzionalità di code scanning di GitHub automatizza l’esecuzione di query in CodeQL per individuare problemi di sicurezza, vulnerabilità nel codice ed errori di programmazione. Il motore di analisi di GitHub lavora con due tipi di query: le alert queries, che evidenziano problemi in punti precisi del codice, e path queries, che descrivono il flusso di informazione da una sorgente a una destinazione.

Le prime vengono usate per individuare errori nel codice che potrebbero portare, come eccezioni non gestite o deserializzazioni non sicure. Le seconde, invece, si rivelano particolarmente utili per seguire il flusso dei dati nelle funzioni e identificare eventuali data leak o problemi di sicurezza causati da input malevoli passati come argomenti di funzioni.

Per il momento la feature di code scanning è disponibile solo per repository in Python, Javascript e Ruby; nei prossimi mesi GitHub estenderà il supporto anche ad altri linguaggi. Code scanning ha un potenziale elevato e, con diversi gradi di personalizzazione, potrà rivelarsi un potente alleato per gli sviluppatori.

Condividi l'articolo