GitHub集成 MurphySec 实时代码安全检测

将MurphySec代码安全检测工具集成到GitHub action中,可对每一次代码更新实时进行安全漏洞检测,并快速修复这些安全漏洞。

如果您使用过GitHub Actions 请直接按照第3步开始操作

效果图

GitHub集成 MurphySec 实时代码安全检测
GitHub集成 MurphySec 实时代码安全检测

未开启请点击Actions启用GitHub Actions

GitHub集成 MurphySec 实时代码安全检测

如展示如下图所示表示项目已开启Actions

GitHub集成 MurphySec 实时代码安全检测

进入项目页面配置Action权限

点击settings–>Actions–>General–>

勾选Read and write permissions

最下方勾选Allow GitHub Actions to create and approve pull requests

GitHub集成 MurphySec 实时代码安全检测
GitHub集成 MurphySec 实时代码安全检测

登录murphysec官网获取token

设置–>访问令牌–>点击复制按钮

GitHub集成 MurphySec 实时代码安全检测

添加MURPHYSEC_TOKEN

点击仓库settings–>Secrets and variables–>Actons–>New repository secret

GitHub集成 MurphySec 实时代码安全检测

创建变量name:MURPHYSEC_TOKEN secrets:murphysec官网复制的TOKEN

GitHub集成 MurphySec 实时代码安全检测

创建GitHub Actions

点击项目Actions–>New workflows

GitHub集成 MurphySec 实时代码安全检测

点击set up a workflow yourself

GitHub集成 MurphySec 实时代码安全检测

添加ci代码并提交

GitHub集成 MurphySec 实时代码安全检测

GitHub Actions代码

branches:对应的分支,需要自行修改需要执行检测的分支名称

name: "MurphySec code scan"
on:
  push:
    branches:
      - master
jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout_Actions
        uses: actions/checkout@v3
      - name: Install MurphySec code scan cli
        run: |
          wget -q https://s.murphysec.com/release/install.sh -O - | /bin/bash
      - name: Code scan
        run: murphysec  scan . --token ${{ secrets.MURPHYSEC_TOKEN }} --json >scan_results.json
      - name: Format data
        run: | 
          wget https://s.murphysec.com/github_actions_format.py
          python3 github_actions_format.py
      - name: Check if file exists
        run: |
          if [ -f "results.sarif" ]; then
            echo "file_exists=true" >> $GITHUB_ENV
          else
            echo "file_exists=false" >> $GITHUB_ENV
          fi
      - name: Upload SARIF file
        if: env.file_exists == 'true'
        uses: github/codeql-action/upload-sarif@v2
        with:
          sarif_file: results.sarif

查看代码检测结果

进入项目页面–>Security–>Code scanning

当前页面展示了所有风险组件的漏洞概览

GitHub集成 MurphySec 实时代码安全检测

点击要查看的漏洞标题可以进入详细信息页面,之后点击Show more查看详细信息

GitHub集成 MurphySec 实时代码安全检测

详细信息包含了漏洞的编号,处置建议,引入路径以及修复方案

点击项目检测报告下方链接可以跳转到murphysec官网查看更详细的漏洞信息

GitHub集成 MurphySec 实时代码安全检测

发布者:墨菲安全,转发请注明出处:https://www.murphysec.com/blog/knowledge-popularization/4905.html

(0)
上一篇 2023年7月7日 18:56
下一篇 2023年7月12日 14:50

相关推荐

  • Gitlab 集成 MurphySec 实时代码安全检测

    一、功能简介 将墨菲安全代码安全检测工具集成到 GitLab CI 中,可对每一次代码更新实时进行安全漏洞检测,并快速修复这些安全漏洞。 如果您使用过 GitLab CI 请直接按照第 4 步开始操作 集成效果 二、操作步骤 2.1 部署 GitLab Runner 为了使用 GitLab 的 CI/CD 功能,我们需要在一台能够访问到 GitLab 服务的…

    2023年7月17日
  • 如何通过SBOM(软件物料清单)实现安全治理

    前言 SBOM(软件物料清单)是近年来在软件供应链领域频繁提到的概念,Linux基金会在2021年Q3调研了全球412 家机构发现已经有82%的人熟悉SBOM、78%的组织预计在今年使用SBOM。本文将介绍SBOM基本概念、实现方式、应用场景,帮助读者通过SBOM更高效地实现安全治理目标。 什么是SBOM 根据NTIA(美国国家电信和信息化管理局)的定义,S…

    2023年1月4日
  • RocketMQ 组件的安全漏洞及修复方案

    Apache RocketMQ 是阿里开源的一款高性能、高吞吐量的分布式消息中间件,在由阿里捐赠给Apache软件基金会之后孵化成了Apache的一个顶级项目(Top-Level Project,TLP)。它是一款低延迟、高并发、高可用、高可靠的分布式消息中间件。 RocketMQ既可为分布式应用系统提供异步解耦和削峰填谷的能力,同时也具备互联网应用所需的海…

    2023年7月14日
  • 软件完整性保护方案之Sigstore

    背景 SolarWinds Orion 软件更新包在2020年底被黑客植入后门,此次攻击事件波及范围极大,包括美国政府部门、关键基础设施以及多家全球500强企业,影响难以估计。如果用户能确认软件来源是可信的 SolarWinds 官方,这次事件可能可以避免。 为了确认软件的来源和构建方式,实现完整性保护,Linux基金会联合Red Hat、Google 和 …

    2023年1月4日
  • 软件供应链安全相关监管要求

    引言 软件供应链是指软件从开发到交付到使用的整个过程中涉及的所有组织、人员、活动、资源和技术的集合。软件供应链具有复杂性、动态性、分布性和多样性等特点,涉及多个主体、多个环节、多个层次和多个领域。软件供应链不仅是软件产品和服务的生产者和提供者,也是软件产品和服务的消费者和使用者,构成了一个复杂的网络系统。 软件供应链面临着多方面的安全风险和挑战,如恶意代码植…

    2023年7月14日

发表回复

您的电子邮箱地址不会被公开。 必填项已用 * 标注

联系我们

400-180-9568

邮件:hi@murphysec.com

工作时间:周一至周五,10:00-19:00,节假日休息

关注公众号

20230105-100741