Nuestro módulo de Seguridad de Apps te permite conectar una variedad de sistemas para monitorearlos y garantizar que todos cuenten con las configuraciones de seguridad adecuadas para proteger tu información, e incluso para robustecer el cumplimiento de tu programa de seguridad ✅⭐.
En este artículo te contaremos sobre las principales configuraciones de seguridad que te recomendamos implementar en Github, y que son monitoreadas con nuestro módulo de Seguridad de Apps.
MFA activado en todas la cuentas
Las mejores prácticas nos dicen que el MFA debería estar activado para todos los usuarios de la organización en todas las cuentas de Github.
Para activarlo se deben seguir los siguientes pasos:
1. Ir a “Settings”:
2. Ir a “Password and authentication”:
3. Ir a la sección “Two-factor authentication” y seleccionar un método:
La aplicación permite configurar MFA
Github permite requerir el segundo factor de autenticación a todos los usuarios de la organización, y para activarlo se deben seguir los siguientes pasos:
1. Ir a “Settings” de la organización:
2. Ir a “Authentication security”:
3. En la sección “Two-factor authentication”, se debe habilitar el check “Require two-factor authentication for everyone in the ‘Name’ organization”.
Debe existir un proceso de code review
Recomendamos configurar el proceso de Pull Request cómo requerido para cada una de las ramas predeterminadas (master o main) de todos los repositorios de la organización.
Para poder establecer la configuración y obtener información de los repositorios privados, se debe contar con un Plan Pro o Enterprise de Github.
💡 No se escanean repositorios archivados.
Para establecer esta configuración, se deben seguir los siguientes pasos:
1. Ir a “Settings” del repositorio:
2. Ir a “Branches”:
3. En la sección “Branch protection rules”, debes hacer clic en el botón “Add branch protection rule”:
4. Seguirá en la sección de “Branch protection rule”, pero aparecerán nuevas opciones:
En el campo de texto “Branch name pattern”, se debe colocar el nombre de su rama predeterminada (master o main).
Luego, selecciona la opción “Require a pull request before merging”, y en la opción “Require approvals”, se debe colocar el valor de 1 o más.
El sistema solo cuenta con los usuarios administradores indispensables
Dentro de Github se recomienda tener un máximo de 2 administradores en la organización.
Para establecer esta configuración se deben seguir los siguientes pasos:
1. Ir a “People”:
2. En el listado de usuarios de la organización, seleccionar los 3 puntos que aparecen del lado derecho, y luego en “Change role…”:
3. Se abrirá un cartel en el cual se debe seleccionar el rol de “Member”. Una vez hecho esto, se debe dar clic en “Change role”.
Los pipelines de CI deben haberse ejecutado de forma correcta
Los pipelines de CI deben haberse ejecutado de forma correcta, y para ello se debe configurar requerir que se completen de forma exitosa los pipelines de CI dentro del proceso de Pull Request para cada una de las ramas predeterminadas (master o main) de todos los repositorios de la organización.
Para poder establecer la configuración y obtener información de los repositorios privados, se debe contar con un Plan Pro o Enterprise de Github.
💡 No se escanean repositorios archivados.
Para establecer esta configuración se deben seguir los siguientes pasos:
1. Ir a “Settings” del repositorio:
2. Ir a “Branches”:
3. En la sección “Branch protection rules”, se debe hacer clic en el botón “Add branch protection rule”:
4. Seguirá en la sección “Branch protection rule” pero aparecerán nuevas opciones:
En el campo de texto “Branch name pattern”, colocar el nombre de su rama predeterminada (master o main).
Seleccionar la opción “Require status checks to pass before merging”.
Se deben resolver todos los comentarios del proceso de code review
Se debe configurar requerir que se solucionen todos los comentarios en el proceso de Pull Request para cada una de las ramas predeterminadas (master o main) de todos los repositorios de la organización.
Para poder establecer la configuración y obtener información de los repositorios privados, se debe contar con un Plan Pro o Enterprise de Github.
💡 No se escanean repositorios archivados.
Para establecer esta configuración se deben seguir los siguientes pasos:
1. Ir a “Settings” del repositorio:
2. Ir a “Branches”:
3. En la sección “Branch protection rules”, se debe hacer clic en el botón “Add branch protection rule”:
4. Seguirá en la sección “Branch protection rule”, pero aparecerán nuevas opciones:
En el campo de texto “Branch name pattern”, colocar el nombre de su rama predeterminada (master o main).
Seleccionar la opción “Require conversation resolution before merging”.
Todos los roles administradores cumplen con las configuraciones de seguridad
Se debe configurar el no permitir que los administradores u otros roles personalizados puedan omitir el proceso de Pull Request para cada una de las ramas predeterminadas (master o main) de todos los repositorios de la organización.
Para poder establecer la configuración y obtener información de los repositorios privados, se debe contar con un Plan Pro o Enterprise de Github.
💡 No se escanean repositorios archivados.
Para establecer esta configuración se deben seguir los siguientes pasos:
1. Ir a “Settings” del repositorio:
2. Ir a “Branches”:
3. En la sección “Branch protection rules”, se debe hacer clic en el botón “Add branch protection rule”:
4. Seguirá en la sección “Branch protection rule”, pero aparecerán nuevas opciones:
En el campo de texto “Branch name pattern”, colocar el nombre de su rama predeterminada (master o main).
Seleccionar la opción “Do not allow bypassing the above settings”.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! Recuerda que también puedes contactarnos por nuestro chat de soporte y te brindaremos la atención que necesites.