{"meta":{"title":"Avaliando o impacto da Proteção Secreta GitHub","intro":"Meça como GitHub Secret Protection reduz a exposição secreta em toda a sua organização, para que você possa demonstrar valor e identificar áreas para fortalecer sua postura de segurança.","product":"Qualidade de segurança e código","breadcrumbs":[{"href":"/pt/code-security","title":"Qualidade de segurança e código"},{"href":"/pt/code-security/tutorials","title":"Tutorials"},{"href":"/pt/code-security/tutorials/remediate-leaked-secrets","title":"Corrigir segredos vazados"},{"href":"/pt/code-security/tutorials/remediate-leaked-secrets/assessing-ghsp-impact","title":"Avaliar o impacto do GHSP"}],"documentType":"article"},"body":"# Avaliando o impacto da Proteção Secreta GitHub\n\nMeça como GitHub Secret Protection reduz a exposição secreta em toda a sua organização, para que você possa demonstrar valor e identificar áreas para fortalecer sua postura de segurança.\n\n## Introdução\n\nDepois de habilitar GitHub Secret Protection (GHSP) para sua organização, você desejará avaliar seu impacto e entender como ele está protegendo sua organização. Este tutorial orienta você a acessar dados relacionados a segredos e interpretar os resultados para medir o desempenho do GHSP.\n\nNeste tutorial, você aprenderá como:\n\n* Acessar a visão geral de segurança da sua organização para exibir secret scanning dados\n* Examinar o relatório (SRA) secret risk assessment\n* Comparar e analisar os dados para avaliar o impacto do GHSP\n\nSe você não tiver um relatório histórico da SRA antes da distribuição do GHSP, ainda poderá avaliar a eficácia do GHSP. Pule para a [Etapa 4: analisar tendências de dados de visão geral de segurança](#step-4-analyze-security-overview-data-trends).\n\n## Pré-requisitos\n\n* Você precisa ter a função de proprietário ou gerente de segurança da organização.\n* Secret Protection deve ser habilitado para sua organização.\n\n## Etapa 1: Acessar a visão geral de segurança no nível da organização\n\nA visão geral de segurança fornece dados em tempo real sobre alertas de escaneamento de segredos em toda a sua organização.\n\n1. Em GitHub, acesse a página principal da organização.\n2. No nome da sua organização, clique na ** Security and quality** aba.\n3. Na página visão geral de segurança, clique na guia **Risco** para exibir dados secretos de verificação.\n A visão geral mostra:\n * Número total de abertos alertas de escaneamento de segredos\n * Tendências de alerta ao longo do tempo\n * Detalhamento por repositório\n * Distribuição de severidade de alerta\n\n## Etapa 2: Exibir seu secret risk assessment relatório\n\nSe você executou anteriormente um relatório SRA, pode acessar o relatório para estabelecer uma linha de base.\n\n1. Em GitHub, acesse a página principal da organização.\n2. No nome da sua organização, clique na ** Security and quality** aba.\n3. Na barra lateral, em \"Security\", clique em ** Assessments**.\n4. Examine as principais métricas da avaliação, incluindo:\n * Número de segredos expostos detectados\n * Tipos de segredos encontrados\n * Repositórios com o maior risco\n * Ações de correção recomendadas\n\n> \\[!NOTE] O relatório SRA fornece um registro de um momento específico da exposição de segredos antes ou durante a implementação do GHSP.\n\n## Etapa 3: Comparar dados SRA com a visão geral de segurança atual\n\nO relatório SRA é um instantâneo de um momento específico feito antes ou durante a implementação do GHSP, enquanto a visão geral de segurança mostra dados em tempo real que são atualizados à medida que os alertas são abertos e resolvidos. Para fazer uma comparação significativa, você precisa garantir que ambos os conjuntos de dados cubram os mesmos tipos de segredo.\n\n### Filtrar para tipos de padrão comparáveis\n\nO relatório SRA detecta apenas **padrões de provedor** e **padrões genéricos**. No entanto, a visão geral de segurança também pode incluir resultados de padrões personalizados que você configurou desde que habilitou o GHSP. Para garantir uma comparação precisa, filtre a visão geral de segurança para os mesmos tipos de padrão que a SRA aborda.\n\n#### Usando a IU\n\nNa guia **Risco** de visão geral de segurança, use a barra de filtros para restringir apenas os resultados aos padrões de provedor e genéricos, excluindo padrões personalizados.\n\n#### Usando a API\n\nComo alternativa, você pode usar a API REST para recuperar programaticamente alertas filtrados por tipo secreto. Por exemplo, para listar apenas o padrão (provedor) alertas de escaneamento de segredos para um repositório:\n\n```shell copy\ngh api \\\n -H \"Accept: application/vnd.github+json\" \\\n /orgs/ORG/secret-scanning/alerts --paginate\n```\n\nIsso retorna alertas somente para padrões padrões. Para incluir também padrões genéricos em seus resultados, passe os nomes de token específicos usando o `secret_type` parâmetro.\n\nPara obter mais informações, consulte [Pontos de extremidade da API REST para verificação de segredos](/pt/rest/secret-scanning/secret-scanning).\n\n### Construa a sua comparação\n\n1. Usando os dados filtrados, crie uma tabela de comparação com estas principais métricas:\n\n | Métrica | Relatório SRA (Linha de Base) | Visão geral de segurança atual (Filtrado) | Change |\n | -------------------------- | ----------------------------- | ----------------------------------------- | ------------ |\n | Total de segredos expostos | \\[Número SRA] | \\[Número atual] | \\[Diferença] |\n | Alertas críticos | \\[Número SRA] | \\[Número atual] | \\[Diferença] |\n | Repositórios afetados | \\[Número SRA] | \\[Número atual] | \\[Diferença] |\n\n2. Calcule a alteração percentual para cada métrica:\n * **Indicadores de impacto positivos:** Redução no total de segredos expostos, menos alertas críticos\n * **Áreas de melhoria:** Novos alertas aparecendo, repositórios específicos com tendências crescentes\n\n3. Observe quaisquer diferenças significativas em:\n * Tipos secretos sendo detectados\n * Cobertura do repositório\n * Taxas de resolução de alertas\n\n## Etapa 4: Analisar tendências de dados de visão geral de segurança\n\nMesmo sem um relatório SRA, você pode avaliar a eficácia do GHSP analisando tendências na visão geral de segurança.\n\n1. Em GitHub, acesse a página principal da organização.\n\n2. No nome da sua organização, clique na ** Security and quality** aba.\n\n3. Na guia **Risco** de visão geral de segurança, examine o gráfico de tendências mostrado alertas de escaneamento de segredos ao longo do tempo.\n\n4. Identificar padrões:\n * **Tendência de declínio:** Indica correção e prevenção bem-sucedidas\n * **Planalto:** Pode sugerir estado estável ou necessidade de maior conscientização\n * **Tendência crescente:** Pode indicar maior cobertura de detecção ou nova introdução secreta\n\n5. Clique em repositórios individuais para detalhar detalhes específicos do alerta.\n\n6. Examine a taxa de resolução de alertas:\n * Navegue até a seção ** Security and quality** da sua organização.\n * Em \"Descobertas\", clique em **Secret scanning**.\n * Verifique quantos alertas foram fechados em comparação com o número de alertas que permanecem abertos.\n * Selecione o tipo de alerta no qual você está interessado.\n * Avaliar o tempo médio de resolução.\n\n## Etapa 5: Interpretar os resultados e tomar medidas\n\nCom base em sua análise, determine as próximas etapas.\n\n### Se você estiver vendo tendências positivas\n\n* Documente a melhoria para demonstrar o valor de GHSP\n* Identificar práticas bem-sucedidas para replicar em outros repositórios\n* Considere expandir a abrangência do GHSP para outros repositórios ou organizações.\n\n### Se você perceber áreas que podem ser melhoradas\n\n* Examinar repositórios com alertas crescentes ou tempos de resolução lentos\n* Fornecer treinamento adicional para equipes de desenvolvimento\n* Avaliar se os padrões personalizados precisam ser configurados\n* Verifique se a proteção por push está habilitada para impedir que novos segredos sejam introduzidos\n\n### Monitoramento contínuo\n\n* Agendar revisões regulares (semanalmente ou mensais) da visão geral de segurança\n* Configurar notificações para novas alertas de escaneamento de segredos\n* Acompanhar as métricas ao longo do tempo para demonstrar melhoria contínua"}