セキュリティ設定
セキュリティ設定ページには、セキュリティテストツールとコンプライアンスツールについて、以下のPagesが表示されます：
- 名前、説明、ドキュメントへのリンク。
- 利用可能かどうか。
- 設定ボタンまたは設定ガイドへのリンク。
それぞれのセキュリティコントロールの状態を判断するために、GitLab はデフォルトブランチの直近のコミットにCI/CD パイプラインがあるかどうかをチェックします。
GitLab が CI/CD パイプラインを見つけたら、.gitlab-ci.yml ファイル内の各ジョブを調べます。
- もしジョブがセキュリティスキャナーのための
artifacts:reportsキーワード を定義していれば、GitLab はセキュリティスキャナーが有効であるとみなし、Enabledステータスを表示します。 - セキュリティスキャナに対して
artifacts:reportsキーワードを定義しているジョブがない場合、GitLab はセキュリティスキャナを無効とみなし、Not enabledステータスを表示します。
GitLabがCI/CDパイプラインを見つけない場合、GitLabはすべてのセキュリティスキャナを無効とみなし、Not enabledステータスを表示します。
失敗したパイプラインとジョブはこのプロセスに含まれます。スキャナーが設定されていても、ジョブが失敗した場合は、そのスキャナーは有効であるとみなされます。このプロセスは、API を通じて返されるスキャナとステータスも決定します。
最新のパイプラインがAuto DevOps を使用している場合、デフォルトですべてのセキュリティ機能が設定されます。
プロジェクトのセキュリティ設定を表示するには：
- 左のサイドバーで「検索」または「移動」を選択してあなたのプロジェクトを検索します。
- セキュア > セキュリティ設定を選択します。
.gitlab-ci.yml ファイルの履歴を表示するには、設定履歴を選択します。
セキュリティテスト
以下のセキュリティコントロールを設定できます：
-
静的アプリケーションセキュリティテスト (SAST)
- 現在のプロジェクトに SAST を設定するには、「Enable SAST」を選択します。詳細については、「UI で SAST を設定する」を参照してください。
-
動的アプリケーション・セキュリティ・テスト (DAST)
- 現在のプロジェクトに DAST を設定するには、DAST を有効にする を選択します。
- 保存された DAST スキャン、サイト プロファイル、スキャナ プロファイルを管理するには、[スキャンの管理] を選択します。詳細については、DASTオンデマンドスキャンをお読みください。
-
依存関係スキャン
- 依存関係スキャンの有効化に必要な変更を含むマージリクエストを作成するには、[マージリクエストで設定]を選択します。詳細については、自動マージリクエストによる依存関係スキャンの有効化を参照してください。
-
コンテナスキャン
- コンテナスキャンを有効にするために必要な変更を含むマージリクエストを作成するには、［マージリクエストで設定］を選択します。詳細については、自動マージリクエストによるコンテナスキャンの有効化を参照してください。
-
コンテナスキャンのオペレーション
- エージェント設定に設定ブロックを追加することで設定できます。詳細については、運用コンテナスキャンを参照してください。
-
シークレット検出
- シークレット検出を有効にするために必要な変更を含むマージリクエストを作成するには、マージリクエストで設定するを選択します。詳細については、「自動的に設定されたマージリクエストを使用する」を参照してください。
-
API ファジング
- 現在のプロジェクトでAPI Fuzzingを使用するには、API Fuzzingを有効にするを選択します。詳細については、API Fuzzing を参照してください。
-
カバレッジファジング
-
.gitlab-ci.ymlで設定できます。詳しくはCoverage Fuzzing をお読みください。
-
コンプライアンス
以下のセキュリティコントロールを設定できます：
-
セキュリティトレーニング
- 現在のプロジェクトのセキュリティトレーニングを有効にします。詳細については、セキュリティトレーニング をお読みください。