安全配置

安全配置#

安全配置页面列出了用于安全测试和合规工具的以下内容：

• 名称、描述和文档链接。
• 是否可用。
• 配置按钮或其配置指南的链接。

为了确定每个安全控制的状态，极狐GitLab 会检查默认分支上最新提交中的 CI/CD 流水线。

如果极狐GitLab 找到 CI/CD 流水线，则会检查 .gitlab-ci.yml 文件中的每个作业。

• 如果作业为安全扫描器定义了artifacts:reports关键字，则极狐GitLab 认为安全扫描器已启用并显示启用状态。
• 如果没有作业为安全扫描器定义artifacts:reports关键字，则极狐GitLab 认为安全扫描器未启用并显示未启用状态。

如果极狐GitLab 未找到 CI/CD 流水线，则认为所有安全扫描器未启用并显示未启用状态。

失败的流水线和作业也包括在此过程中。如果扫描器已配置但作业失败，该扫描器仍被视为启用。此过程还通过API确定返回的扫描器和状态。

如果最新的流水线使用自动 DevOps，则所有安全功能默认配置。

要查看项目的安全配置：

1. 在左侧边栏中，选择搜索或转到并找到您的项目。
2. 选择安全 > 安全配置。

选择配置历史记录查看 .gitlab-ci.yml 文件的历史。

安全测试#

您可以配置以下安全控制：

• 静态应用程序安全测试 (SAST)
  • 选择启用 SAST为当前项目配置 SAST。有关更多详细信息，请阅读在 UI 中配置 SAST。
• 动态应用程序安全测试 (DAST)
  • 选择启用 DAST为当前项目配置 DAST。
  • 选择管理扫描管理保存的 DAST 扫描、站点配置文件和扫描器配置文件。有关更多详细信息，请阅读DAST 按需扫描。
• 依赖项扫描
  • 选择通过合并请求配置创建合并请求以进行启用依赖项扫描所需的更改。有关更多信息，请参阅使用预配置的合并请求。
• 容器扫描
  • 选择通过合并请求配置创建合并请求以进行启用容器扫描所需的更改。有关更多详细信息，请参阅通过自动合并请求启用容器扫描。
• 用于注册表的容器扫描
  • 启用切换为当前项目配置用于注册表的容器扫描。
• 操作性容器扫描
  • 可以通过在代理配置中添加配置块来配置。有关更多详细信息，请阅读操作性容器扫描。
• 密钥检测
  • 选择通过合并请求配置创建合并请求以进行启用密钥检测所需的更改。有关更多详细信息，请阅读使用自动配置的合并请求。
• API 模糊测试
  • 选择启用 API 模糊测试为当前项目使用 API 模糊测试。有关更多详细信息，请阅读API 模糊测试。
• 覆盖率模糊测试
  • 可以使用 .gitlab-ci.yml 进行配置。有关更多详细信息，请阅读覆盖率模糊测试。

合规#

您可以配置以下安全控制：

• 安全培训
  • 为当前项目启用安全培训。有关更多详细信息，请阅读安全培训。