Claude Academy
載入中

Claude Security 入門指南

Claude Security 入門指南

8 分鐘Claude Security

Claude Security 是內建於 Claude.ai 的一項功能，它會持續監看您的程式碼庫是否有安全漏洞、追蹤每一項發現結果直到修復為止，並提出針對性的軟體修補建議供您審查，讓您和您的團隊能夠找出並修復傳統方法經常遺漏的安全問題。這是一項提供給 Claude Enterprise 帳戶使用的測試版功能。

大多數工程團隊並沒有足夠的審查人力與技能，能夠在每次變更中識別出複雜的漏洞，而許多問題若缺乏以安全為核心的思維，很容易被忽略。Claude Security 有助於彌補這個落差：它會掃描您的程式碼庫，找出真正重要的問題，並提出修補建議，供您或您的團隊審查與套用。Claude Security 由我們完整系列的模型提供支援，其中包括 Claude Mythos，且無需取得 Cyber Verification Program 的存取權限。

本指南涵蓋了設定 Claude Security、建立您的第一個專案、審查發現結果，以及取得日常使用技巧所需的一切內容。

先決條件

在使用 Claude Security 之前，必須先具備以下條件：

  • 符合資格的方案： 您的組織必須擁有有效的 Claude Enterprise 帳戶。
  • 儲存庫的存取權限：
    • 對於 GitHub 上的儲存庫，您的管理員必須已安裝 Claude GitHub App，並授予其存取您欲掃描之儲存庫的權限，而且每位新增儲存庫的人都必須將自己的 GitHub 帳戶連接至 Claude。這與 Claude Code in the cloud 所使用的 Claude GitHub App 相同。
    • 若使用 GitHub Enterprise Server，則該應用程式必須安裝於您的 GHES 執行個體上，且該執行個體必須已連接至 Claude Code in the cloud。
  • 對於託管在其他 Git 供應商（例如 GitLab、BitBucket 等）上的儲存庫，您需要該儲存庫的位址與驗證權杖。
  • 建立專案的權限： 管理員可以決定哪些 RBAC 角色能夠建立 Claude Security 專案。
  • 使用者席位： 每位使用 Claude Security 的人，都需要一個包含 Claude Code 的席位（哪些席位包含 Claude Code）。
  • Claude Code in the cloud（選用）： 讓使用者能透過 Claude Code in the cloud 執行建議的修復。若沒有此功能，使用者會將提示複製到自己的 Claude Code 中。

設定

如果您的組織已經在使用 Claude Code in the cloud，大部分的設定工作已經完成。以下是您需要確認的事項：

  1. 檢查計費設定。 掃描依直接的詞元（token）成本計費，不收取額外的平台費用。如果您的方案有標準席位與進階席位，請先開啟使用額度（操作方式）。若為其他 Enterprise 方案，請參閱我的 Enterprise 方案如何計費？。費用會隨著您儲存庫的規模及其變更頻率而變動，因此請設定符合您預期用量的支出上限。啟用 Claude Security 後，您也可以為此功能另外設定支出上限。
  2. 讓 Claude 存取您的 GitHub 儲存庫。 在您想要掃描的儲存庫上安裝 Claude GitHub App（若是在 GitHub 組織上，可能需要該組織的擁有者核准），並在「Organization settings > Connectors」中開啟 GitHub connector。若使用 GitHub Enterprise Server，請依照 GitHub Enterprise Server 指南進行。對於託管在其他 Git 伺服器上的儲存庫，請為您打算新增的儲存庫建立驗證權杖。
  3. 在管理控制台中啟用 Claude Security 功能：http://claude.ai/admin-settings/claude-security
  4. 設定存取權限與能力。 管理員可以透過在自訂角色中設定相應的能力，決定哪些 RBAC 角色能夠建立專案，以及誰能檢視、分類處理或管理所有專案。
  5. 啟用 Claude Code in the cloud（選用）。 這可讓使用者在雲端執行修復。除此之外，此項為選用。

每位使用 Claude Security 的人，也會將自己的 GitHub 帳戶連接至 Claude（檢查方式）。

建立專案

啟用 Claude Security 後，建立專案非常簡單：

  1. 透過 Claude.ai 前往 Claude Security。 前往 claude.ai，點選左側邊欄中的安全圖示，或直接前往 claude.ai/security。
  2. 點選「New project」並為其命名。 專案是存取控制與計費的單位。
  3. 新增儲存庫。 從 GitHub 或其他 Git 供應商連接最多八個儲存庫。您可以為每個儲存庫選擇性地設定分支、資料夾範圍與排除的資料夾。
  4. 補充程式碼無法呈現的資訊（選用）。 以筆記或文件（例如架構文件）的形式，告訴 Claude 您的程式碼如何部署、誰能存取它，以及您已接受哪些風險。您之後可以編輯這些內容。
  5. 建立專案。 點選「Create project」。Claude 會讀取程式碼、撰寫威脅模型，並執行深度的基準掃描。根據儲存庫的大小，基準掃描可能需要數分鐘或數小時，而您可以在掃描執行期間離開此頁面。
  6. 審查發現結果。 Claude 回報發現結果時，這些結果會出現在專案的「Findings」分頁中，並附有詳細資訊，包括漏洞類型、嚴重程度、受影響的檔案與行數，以及問題描述。

之後，Claude 會檢查新的提交（commit），並持續掃描漏洞。

審查並處理發現結果

專案的「Findings」分頁會列出其未解決的發現結果。針對每項發現結果，您有以下幾種處理方式：

  • 審查詳細資訊。 每項發現結果都包含漏洞描述、受影響的程式碼位置、其背後的證據與推理，以及建議的修復方式。您也可以在專案的對話中向 Claude 詢問某項發現結果。
  • 開始修復。 點選發現結果上的「Fix」，即可開啟 Claude Code 並修復該特定漏洞。
  • 分類處理發現結果。 將其標記為已修復，或以誤判、已接受的風險、重複項目或其他原因將其忽略。
  • 追蹤修復。 Claude 會根據已變更的程式碼檢查未解決的發現結果，並在修復併入時將其標記為已修復。若 Claude 之後再次發現該問題，已標記為已修復的發現結果會自動重新開啟。
  • 匯出發現結果。 若要將發現結果匯出至您自己的追蹤與通知系統，請使用 Claude Security API、Claude Security 連接器或 Webhook。

發現結果會依嚴重程度分類，以協助您排定修復工作的優先順序。我們建議從嚴重程度最高的項目開始，依序處理清單中的項目。

日常使用的技巧

以下技巧能讓日常使用更加順暢。

設定專案

  • 將相關的儲存庫歸入同一個專案： 為每個服務或團隊各建立一個專案，如此一來，發現結果才能明確歸屬，審查人員也不必在不屬於自己的結果中費力篩選。將彼此協作的儲存庫（例如後端及其用戶端應用程式）放在同一個專案中，讓 Claude 能夠跨儲存庫追蹤問題。一個專案最多可容納八個來自 GitHub 或其他 Git 供應商的儲存庫。
  • 限定大型儲存庫的掃描範圍： 對於大型儲存庫與單一儲存庫（monorepo），請為每個儲存庫設定資料夾範圍，並排除您不需要涵蓋的資料夾。較窄的範圍能提高結果的確定性，並讓 Claude 更加專注。Claude 仍可在需要時追蹤邏輯，並從更廣泛的程式碼庫（包括已排除的資料夾）中擷取脈絡。
  • 補充程式碼無法呈現的資訊： 告訴 Claude 您的程式碼如何部署、誰能存取它，以及您已接受哪些風險。Claude 會將這些資訊保存在每個專案的威脅模型中，並據此決定要標示哪些內容以及如何評定其等級。若要閱讀與編輯威脅模型，或新增架構文件等文件，請開啟專案的「Resources」分頁。擁有「Full」角色的人可以編輯這些內容。

分類處理與協作

  • 分類處理時，請新增原因與備註： 在分類處理發現結果時，選擇原因並新增分類備註，以建立稽核軌跡並為未來的審查人員提供脈絡。Claude 也會讀取已忽略之發現結果上的備註，並將其運用於該專案。基於稽核與合規目的，每項發現結果也會保留「History」，記錄誰在何時變更了它。

  • 與團隊成員分享專案： 在專案中點選「Share」，即可為特定成員指派角色：

    • Full： 管理發現結果、設定以及誰擁有存取權
    • Triage： 檢視發現結果、更新其狀態並開始修復
    • View： 單純掌握最新狀況

    您也可以將專案分享給整個組織。

連接您的工具

  • 透過 API 將發現結果匯入您的系統： 在 Claude Security 設定中建立個人存取權杖。接著使用 Claude Security API 將發現結果匯入您的工單、漏洞管理與報告工具，並從這些工具中將其解決，讓分類處理與狀態都能與團隊使用的其他資訊並存。
  • 透過連接器在同一個工作階段中修復並解決： 透過 Claude Security 連接器，工程師可以在 Claude 或 Claude Code 中調出某項發現結果、修復它，並在同一個工作階段中將其解決。
  • 透過 Webhook 通知您的團隊： 在 Claude Security 設定中建立 Webhook，即時將新發現結果的事件推送至您自己的系統。將其串接至 Slack 或 Jira 等工具，讓分類工作無需任何人主動查看儀表板即可展開。

管理成本與存取權限

  • 追蹤每個專案的成本： 在專案的設定中開啟「Usage」，即可查看該專案當月至今以及每日的成本。
  • 透過自訂角色推行至更多團隊： 管理員可以使用自訂角色來決定哪些 RBAC 角色能夠建立專案，以及誰能檢視、分類處理或管理所有專案。