Claude Academy
加载中

Claude Security 入门指南

Claude Security 入门指南

8 分钟Claude Security

Claude Security 是内置于 Claude.ai 中的一项功能，它会持续监测您的代码库中的安全漏洞，跟踪每个发现结果直至其被修复，并提出有针对性的软件补丁供您审查，从而帮助您和您的团队发现并修复传统方法常常遗漏的安全问题。这是一项面向 Claude Enterprise 账户的测试版功能。

大多数工程团队没有足够的审查人时和技能来识别每次变更中的复杂漏洞，而且许多问题如果没有以安全为重点的思维方式很容易被忽略。Claude Security 有助于弥补这一差距：它会扫描您的代码库，找出真正重要的问题，并提出您或您的团队可以审查和应用的补丁。Claude Security 由我们的全系列模型提供支持，包括 Claude Mythos，且无需 Cyber Verification Program 访问权限。

本指南涵盖了设置 Claude Security、创建您的第一个项目、审查发现结果以及获取持续使用的技巧所需的一切内容。

前提条件

在使用 Claude Security 之前，必须满足以下要求：

  • 符合条件的计划： 您的组织必须拥有有效的 Claude Enterprise 账户。
  • 对您的仓库的访问权限：
    • 对于 GitHub 上的仓库，您的管理员必须已安装 Claude GitHub App，并授予其访问您希望扫描的仓库的权限，而且每位添加仓库的人员都必须将自己的 GitHub 账户连接到 Claude。这与 Claude Code in the cloud 所使用的 Claude GitHub App 相同。
    • 对于 GitHub Enterprise Server，该应用必须安装在您的 GHES 实例上，并且该实例必须已连接到 Claude Code in the cloud。
  • 对于托管在其他 Git 提供商（例如 GitLab、BitBucket 等）上的仓库，您需要该仓库的地址和一个身份验证令牌。
  • 创建项目的权限： 管理员可以决定哪些 RBAC 角色可以创建 Claude Security 项目。
  • 用户席位： 每位使用 Claude Security 的人员都需要一个包含 Claude Code 的席位（了解哪些席位包含 Claude Code）。
  • Claude Code in the cloud（可选）： 让用户可以通过 Claude Code in the cloud 运行建议的修复。如果没有它，他们需要将一段提示复制到自己的 Claude Code 中。

设置

如果您的组织已经在使用 Claude Code in the cloud，那么大部分设置工作已经完成。以下是您需要确认的内容：

  1. 检查账单。 扫描按直接令牌成本收费，不收取额外的平台费用。如果您的计划包含标准席位和高级席位，请先开启使用额度（操作方法）。对于其他 Enterprise 计划，请参阅我的 Enterprise 计划如何计费？。费用会随着您的仓库规模及其变更频率而变化，因此请设置与您预期用量相符的支出限额。启用 Claude Security 后，您还可以为该功能单独设置支出限额。
  2. 授予 Claude 访问您的 GitHub 仓库的权限。 在您想要扫描的仓库上安装 Claude GitHub App（如果安装在 GitHub 组织上，可能需要该组织的所有者批准），并在 Organization settings > Connectors 中开启 GitHub connector。对于 GitHub Enterprise Server，请按照 GitHub Enterprise Server 指南进行操作。对于托管在其他 Git 服务器上的仓库，请为您计划添加的仓库创建一个身份验证令牌。
  3. 在管理控制台中启用 Claude Security 功能：http://claude.ai/admin-settings/claude-security
  4. 配置访问权限和能力。 管理员可以通过在自定义角色中配置相应能力，决定哪些 RBAC 角色可以创建项目，以及谁可以查看、分类处理或管理所有项目。
  5. 启用 Claude Code in the cloud（可选）。 这样用户就可以在云端运行修复。除此之外，它是可选的。

每位使用 Claude Security 的人员还要将自己的 GitHub 账户连接到 Claude（如何检查）。

创建项目

启用 Claude Security 后，创建项目非常简单：

  1. 通过 Claude.ai 导航到 Claude Security。 前往 claude.ai 并点击左侧边栏中的安全图标，或访问 claude.ai/security。
  2. 点击"New project"并为其命名。 项目是访问控制和计费的单位。
  3. 添加仓库。 最多可连接八个来自 GitHub 或其他 Git 提供商的仓库。对于每个仓库，您可以选择设置分支、文件夹范围和排除的文件夹。
  4. 添加代码无法体现的信息（可选）。 告诉 Claude 您的代码是如何部署的、谁可以访问它，以及您已接受哪些风险，可以以备注的形式提供，也可以以文档（例如架构文档）的形式提供。您之后可以编辑这些内容。
  5. 创建项目。 点击"Create project"。Claude 会读取代码、编写威胁模型，并运行一次深度基线扫描。根据仓库的大小，基线扫描可能需要几分钟到几小时不等，扫描运行期间您可以离开该页面。
  6. 审查发现结果。 发现结果会在 Claude 报告时出现在项目的 Findings 选项卡中，并附有详细信息，包括漏洞类型、严重程度、受影响的文件和行号，以及问题描述。

之后，Claude 会检查新的提交，并持续扫描漏洞。

审查并处理发现结果

项目的 Findings 选项卡会列出其未解决的发现结果。针对每个发现结果，您有多种处理选项：

  • 查看详情。 每个发现结果都包含漏洞描述、受影响的代码位置、其背后的证据和推理，以及建议的修复方案。您还可以在项目的聊天中向 Claude 询问某个发现结果。
  • 开始修复。 点击某个发现结果上的"Fix"，即可打开 Claude Code 并修复该特定漏洞。
  • 对发现结果进行分类处理。 将其标记为已修复，或将其作为误报、已接受的风险、重复项或因其他原因忽略。
  • 跟踪修复情况。 Claude 会根据已变更的代码检查未解决的发现结果，并在修复合入后将其标记为已修复。如果 Claude 之后再次发现该问题，被标记为已修复的发现结果会自动重新打开。
  • 导出发现结果。 要将发现结果导出到您自己的跟踪和通知系统中，请使用 Claude Security API、Claude Security 连接器或 webhook。

发现结果会按严重程度分类，以帮助您确定修复工作的优先级。我们建议从严重程度最高的项目开始，依次处理列表中的内容。

持续使用的技巧

以下技巧能让持续使用更加便捷。

设置项目

  • 将相关仓库归入同一个项目： 为每个服务或团队创建一个项目，这样发现结果就能明确归属，审查人员也不必在属于他人的结果中费力查找。将协同工作的仓库（例如后端及其客户端应用）放在同一个项目中，以便 Claude 能够跨仓库追踪问题。一个项目最多可容纳八个来自 GitHub 或其他 Git 提供商的仓库。
  • 限定大型仓库的扫描范围： 对于大型仓库和单体仓库（monorepo），请为每个仓库设置文件夹范围，并排除您不需要覆盖的文件夹。更窄的范围能提高确定性，并使 Claude 的注意力更加集中。Claude 仍可在需要时追踪逻辑，并从更广泛的代码库（包括已排除的文件夹）中提取上下文。
  • 添加代码无法体现的信息： 告诉 Claude 您的代码是如何部署的、谁可以访问它，以及您已接受哪些风险。Claude 会将这些信息保存在每个项目的威胁模型中，并据此决定要标记哪些问题以及如何评级。要阅读和编辑威胁模型或添加文档（例如架构文档），请打开项目的 Resources 选项卡。拥有 Full 角色的人员可以编辑它们。

分类处理与协作

  • 分类处理时添加理由和备注： 对发现结果进行分类处理时，请选择理由并添加分类备注，以创建审计记录，并为未来的审查人员提供背景信息。Claude 也会读取已忽略发现结果上的备注，并将其用于该项目。出于审计和合规目的，每个发现结果还会保留一份 History，记录谁在何时更改了它。

  • 与团队成员共享项目： 在项目中，点击 Share 为特定成员分配角色：

    • Full： 管理发现结果、设置以及谁拥有访问权限
    • Triage： 查看发现结果、更新其状态并启动修复
    • View： 仅了解最新情况

    您也可以与整个组织共享项目。

连接您的工具

  • 使用 API 将发现结果拉取到您的系统中： 在 Claude Security 设置中创建个人访问令牌。然后使用 Claude Security API 将发现结果拉取到您的工单、漏洞管理和报告工具中，并在这些工具中将其解决，让分类处理和状态与团队使用的其他一切内容集中在一处。
  • 借助连接器在同一会话中完成修复和解决： 借助 Claude Security 连接器，工程师可以在 Claude 或 Claude Code 中调出某个发现结果、修复它，并在同一会话中将其解决。
  • 通过 webhook 通知您的团队： 在 Claude Security 设置中创建 webhook，将新发现结果事件实时推送到您自己的系统中。将它们接入 Slack 或 Jira 等工具，这样分类处理工作无需任何人去查看仪表盘即可开始。

管理费用和访问权限

  • 跟踪每个项目的费用： 在项目设置中打开 Usage，即可查看该项目本月迄今以及每天的费用。
  • 通过自定义角色推广到更多团队： 管理员可以使用自定义角色来决定哪些 RBAC 角色可以创建项目，以及谁可以查看、分类处理或管理所有项目。