Primeiros passos: workspace, controle de código-fonte e primeiro scan

Login e assistente de onboarding

Seu workspace é a sua organização no Plexicus: a conta que reúne seus membros, conexões, repositórios e achados. O produto e o restante deste curso a chamam de organização.

A forma como você acessa o Plexicus pela primeira vez depende de como sua empresa o opera. No Plexicus SaaS, você faz login em app.plexicus.ai. Uma implantação auto-hospedada usa o seu próprio hostname. Se um administrador convidou você para uma organização existente, aceite primeiro o convite recebido por e-mail. Não se cadastre por conta própria antes: o autocadastro cria uma organização separada. Convites, funções e configuração de SSO são tratados no módulo 10.

Cadastro e login

A página Register oferece cadastro com um clique via GitHub, Google ou Microsoft, além de “or register with email” (Email, Password, Confirm Password). Em algumas regiões, a página mostra apenas o formulário de e-mail. Marque a caixa de seleção Terms antes de se cadastrar, seja com um botão de provedor, seja por e-mail. Se você não marcar, a caixa fica sinalizada e o cadastro não é concluído. Senhas de cadastro por e-mail precisam ter pelo menos 8 caracteres, incluindo uma letra maiúscula, uma letra minúscula, um número e um caractere especial. Depois do envio, o Plexicus mostra “Check your email”. Clique no link de verificação, aguarde “Your email is verified” e então faça login.

A página Login oferece os mesmos três provedores; “Login via SSO”, onde você digita o slug de login SSO da sua organização (peça ao seu administrador; o placeholder do campo parece um endereço de e-mail); e e-mail e senha, com o link “Forgot password?”. Se sua organização configurou SSO, use-o: assim, seu provedor de identidade controla quem entra.

As quatro etapas

Em uma organização nova, seu primeiro login abre o assistente de onboarding. O painel à esquerda acompanha quatro etapas:

Etapa	O que fazer
Connect	Escolher um provedor de controle de código-fonte e autorizá-lo, ou escolher uma base de código de demonstração
Choose repos	Buscar seus repositórios, marcar até 5 e escolher uma branch para cada um
Basic config	Definir um nome de organização opcional, os padrões de compliance e o idioma de scan e relatório
Scanning	Acompanhar o Plexalyzer, o motor de scan do Plexicus, analisando seus repositórios

Connect. “Connect your repository” mostra um card por provedor: GitHub (com o selo “Most popular”), GitLab, Bitbucket Cloud, Gitea, Forgejo e Azure DevOps. Clique em Configure em um card para autorizar o provedor ou informar as credenciais; a lição 2 explica cada provedor. Um card conectado mostra Configured, e o botão Continue fica ativo.

A opção de base de código de demonstração. Abaixo dos cards, em “Or try it instantly”, clique em Try sample repo. “Select a Demo Codebase” lista repositórios de exemplo seguros e pré-configurados que contêm vulnerabilidades intencionais. Marque um ou mais e clique em Continue. Siga esse caminho quando quiser ver achados reais antes de sua equipe de segurança aprovar uma conexão com código de produção, ou quando estiver treinando um colega.

Choose repos. Busque, marque até 5 repositórios e defina a branch de qualquer repositório que tenha mais de uma. Na maioria dos provedores, você pode adicionar mais repositórios depois em Assets (lição 3).

Basic config. Três configurações definem o primeiro scan:

• Nome da organização (opcional).
• Padrões de compliance: escolha um ou mais, como NIS2, DORA, CRA, GDPR, ISO 27001
  , PCI DSS v4.0.1 ou SOC 2, ou escolha “None for now”. Os achados são mapeados para cada framework, para que os relatórios mostrem as lacunas de cobertura. O Plexicus gera mapeamentos e evidências para suas auditorias, não um veredito de compliance. Frameworks que não estão incluídos no seu plano aparecem bloqueados.
• Idioma de scan e relatório: notas de correção, textos de pull request e relatórios são escritos nesse idioma. Inglês e espanhol estão disponíveis.

Nesta etapa, a ordem importa. O Plexicus cria os repositórios e inicia o primeiro scan deles somente quando você clica em Start scan. É assim que o primeiro scan já usa seus frameworks e seu idioma. Use “Back to repositories” se precisar mudar a seleção antes.

Scanning. “Scanning in progress” acompanha a análise. Você não precisa esperar nesta tela: a faixa “Your scan is running in the background” permite seguir para Assets enquanto o scan continua rodando no servidor. O botão da faixa diz Go to dashboard, mas abre Assets, onde você pode acompanhar o scan. Quando todos os repositórios chegam a Enriched, o onboarding é concluído e o Plexicus leva você ao Dashboard.

Conectar o controle de código-fonte

O Plexicus escaneia o código que lê do seu provedor de controle de código-fonte (SCM) e entrega as correções de volta no mesmo lugar, como pull requests e issues. As permissões que uma conexão solicita correspondem diretamente a essas duas tarefas. Seu código não é usado para treinar modelos de IA, e os dados do SaaS ficam na UE por padrão.

Depois do onboarding, gerencie as conexões em Settings Configuration Integrations . A seção “Source Control (SCM)” mostra cada provedor como Connected ou Not connected, com um botão Connect ou Manage. Você pode conectar vários provedores, e o Plexicus escaneia os repositórios de todos eles.

Referência de provedores

Provedor	Como se conecta	O que você informa
GitHub.com	Redirecionamento OAuth e, em seguida, instalação da GitHub App do Plexicus	Aprovar o acesso à organização, escolher os repositórios
GitHub Enterprise Server	Credenciais da instância	GitHub Enterprise URL mais um token de acesso pessoal, o client ID e o secret de uma OAuth App, ou o ID de uma GitHub App e a chave privada (PEM)
GitLab.com	Redirecionamento OAuth	Aprovar os escopos
GitLab Self-Hosted	Aplicação OAuth no seu GitLab	Gitlab URL, Gitlab Client ID, Gitlab Client Secret
Bitbucket Cloud	Redirecionamento OAuth	Aprovar o acesso; Server e Data Center não são suportados
Gitea	Token de acesso	Gitea URL, Token
Forgejo	Token de acesso	Forgejo URL, Token
Azure DevOps	Token de acesso	Personal Access Token (PAT), Organization URL opcional

Em Settings Configuration Integrations , os cards do GitHub e do GitLab pedem primeiro o tipo de instância. É ali que você conecta o GitHub Enterprise Server ou um GitLab autogerenciado. Confirme com a Plexicus o suporte do GitHub Enterprise Server para a sua instância antes de planejar um rollout que dependa disso.

O acesso de que o Plexicus precisa, e por quê

O acesso de leitura cobre a descoberta e o scan; o acesso de escrita cobre a entrega. Os nomes dos escopos variam conforme o provedor:

Acesso	Por que o Plexicus pede esse acesso
Leitura de repositórios e branches	Listar repositórios, carregar branches e clonar a branch selecionada para o scan
Leitura de usuário ou conta	Verificar o token ou a conta e mostrar qual perfil está conectado
Escrita de pull requests ou merge requests	Abrir pull requests de correção para sua revisão (módulo 7) e o pull request do pipeline de CI
Escrita de issues ou work items	Criar uma issue quando uma correção não pode ser entregue como pull request
Webhooks	Saber quando é feito o merge de um pull request do Plexicus ou quando uma issue vinculada é fechada, para que o achado passe para Fixed
Variáveis e secrets de CI/CD	Armazenar o token do scanner como secret do repositório quando você configura um pipeline

Acesso de escrita nunca significa que o Plexicus faz merge. Ele abre pull requests; sua equipe os revisa e mantém o controle do merge, e nada muda em produção automaticamente.

Observações por provedor

• GitHub.com. Após o redirecionamento OAuth, instale a GitHub App do Plexicus na conta ou organização dona dos seus repositórios, selecione os repositórios que serão compartilhados e aprove explicitamente o acesso aos recursos da organização. Se o GitHub aparecer como conectado, mas nenhum repositório for listado, use o botão Install GitHub App no seletor de repositórios.
• GitLab. O Plexicus solicita oito escopos: api, read_api, read_user, read_repository, write_repository, openid, profile e email. Para uma instância autogerenciada, registre uma aplicação OAuth no seu GitLab, marque Trusted, selecione esses escopos e defina o Redirect URI como o seu host do Plexicus seguido de /api/callback/gitlab (no SaaS, https://app.plexicus.ai/api/callback/gitlab). Depois, informe no Plexicus a origem da instância, o client ID e o secret e clique em Connect.
• Bitbucket Cloud. Apenas bitbucket.org é suportado. Se você usa Bitbucket Data Center, espelhe os repositórios em um provedor suportado.
• Gitea e Forgejo. O token precisa de leitura de repositório e leitura de usuário, além de escrita de repositório para os pull requests de correção. O Plexicus valida o token na sua instância antes de salvar, então a instância precisa estar acessível a partir do Plexicus.
• Azure DevOps. Conceda ao PAT os escopos indicados no texto de ajuda do conector: Code (Read & Write) e Work Items (Read & Write). A documentação pública também lista Pull Request Threads (read & write). Deixe Organization URL em branco para https://dev.azure.com ou informe a URL do seu servidor on-premises. A mesma conexão cobre projetos TFVC e, como o TFVC não tem pull requests, as correções de TFVC sempre chegam como issues.

Adicionar e gerenciar repositórios em Assets

Assets reúne seus repositórios, registros de contêiner e contas de cloud em três abas: Repo Scan, Registry Audit e Cloud Assessment. Os alvos de AI Pentest ficam em Pentest. Esta lição trata de Repo Scan.

Adicionar repositórios

Abra Assets Repo Scan Add Repository . O mesmo botão também fica na barra de ferramentas de Findings. O que acontece a seguir depende das suas conexões:

• Um provedor conectado: Manage Repositories abre diretamente.
• Vários provedores: “Select Source Control” pergunta de qual deles adicionar. Com o Azure DevOps conectado, a lista inclui “TFVC (Azure DevOps / TFS)”.
• Nenhum: uma mensagem informa que você ainda não tem controle de código-fonte configurado e redireciona você para a página do conector.

Em Manage Repositories:

1. Busque na lista. Cada repositório tem um selo Private ou Public, e os que você já adicionou aparecem marcados com “Repository already exists”.
2. Marque até 5 repositórios por lote.
3. Escolha uma Branch para cada repositório selecionado que tenha mais de uma.
4. Se quiser, abra Advanced Options para escolher quais ferramentas de segurança serão executadas (módulo 3).
5. Clique em Launch. O Plexicus cria os repositórios e coloca um scan na fila para cada um.

Escolha a branch que você de fato coloca em produção. Um scan de uma feature branch desatualizada pode reportar uma dependência vulnerável que você já atualizou na main, ou deixar passar uma injeção de SQL que chegou por merge na semana passada.

A tabela Repo Scan

As colunas são Actions, SCM, Repo, Findings (contagem por severidade), Pipeline, Priority, Tags, Branch, Creation Date e Finished Scan At. Download exporta a lista como repositories.csv. Cada linha oferece estas ações:

Ação	O que faz
Configure	Escolher as ferramentas de segurança para este repositório
Re-Scan	Excluir e recriar o repositório e, em seguida, escaneá-lo de novo
Show Findings	Abrir Findings filtrado por este repositório
Exposure Map	Abrir a análise de exposição do repositório
Show Repository	Abrir o repositório no seu SCM
Configure Schedule	Abre a configuração Schedule Scan de toda a organização, somente para leitura. Não é um agendamento por repositório. A disponibilidade depende do seu plano
Delete Repository	Remover o repositório do Plexicus

Para uma cadência de scans confiável, rode os scans a partir do seu pipeline de CI (módulo 3) em vez de depender de um agendamento.

Enquanto um repositório está queued, running ou enriching, o indicador de status substitui essas ações. Selecione várias linhas para acessar as ações em massa Re-Scan, Configure e Delete Repository. A exclusão em massa é restrita às funções Admin e Cyberoper.

Re-Scan ou Finalize Now

Re-Scan é começar do zero. A própria confirmação deixa isso claro: ela exclui e recria o repositório, apagando todos os achados existentes. Para escanear um repositório de novo e manter os achados, use Relaunch scan no Activity Center (próxima lição).

Um scan que para de progredir mostra o selo “Scan Stuck”. O tooltip dele mostra a última atividade e quantas ferramentas entregaram resultados. Clique no selo para abrir “Scan Stuck — Action Required” e escolha Finalize Now. O Plexicus recalcula as contagens de achados e marca o repositório como concluído, sem perda de dados. Se o scan, na verdade, ainda estiver saudável, o Plexicus se recusa a finalizá-lo e deixa que ele continue rodando. Se ninguém agir, o próprio Plexicus finaliza um scan que esteja travado há várias horas.

Configuração do pipeline de CI

Nos provedores suportados, Setup Pipeline, na coluna Pipeline, fica clicável assim que o repositório está enriquecido. Ele abre um pull request que adiciona o workflow do Plexalyzer ao repositório, e nada muda no seu CI até que alguém da sua equipe faça o merge. O módulo 3 trata dos provedores suportados, dos status do pipeline e do token do Plexalyzer.

Acompanhar um scan

Na tabela Repo Scan, a coluna Actions mostra queued, running ou enriching enquanto um scan está em andamento. Enriching significa que os scanners terminaram e o enriquecimento por IA ainda está em execução. Quando o repositório fica enriquecido, esse indicador desaparece e as ações da linha, as contagens de achados e o botão Pipeline voltam. Enriched significa que o scan terminou.

O Activity Center

Na página Assets, a bandeja de atividades mostra quantos scans estão em execução e quantos foram concluídos hoje. Clique em Assets Open Activity Center para abrir o painel completo. Defina o escopo como “This view” (o tipo de ativo atual) ou “All assets” e depois filtre:

• Overview: scans em execução e o resultado mais recente de cada ativo.
• Running: apenas os scans em andamento.
• Issues: execuções travadas ou parciais que precisam de atenção.
• History: todas as execuções, das mais recentes para as mais antigas.

Cada execução é um card com um stepper de fases:

Fase	O que está acontecendo
Queued	A solicitação foi aceita e aguarda uma vaga
Preparing environment	O ambiente de análise está sendo preparado
Scanning	As ferramentas de segurança estão em execução
Processing results	Os resultados são normalizados e ingeridos como achados
Completed	O scan terminou
Enriched	A análise e a priorização por IA foram aplicadas

Os cards oferecem View findings, Relaunch scan nas execuções finalizadas (inclusive as parciais) e Cancel nas que estão em andamento (com confirmação). Relaunch scan solicita um novo scan do mesmo repositório e não exclui nada. Por isso, é a alternativa menos drástica ao Re-Scan.

Dois estados de card merecem atenção:

• Stalled: sem progresso recente. O Plexicus tenta de novo automaticamente, e o stepper mostra a tentativa em curso.
• Partial: algumas ferramentas não terminaram, e o stepper explica isso como Degraded. Os achados entregues são reais, mas as partes não cobertas não foram escaneadas, então não se sabe se estão limpas. Clique em Relaunch scan no card para escanear de novo e manter seus achados. O texto do produto diz “re-scan recommended”, mas a ação Re-Scan da linha apaga todos os achados.

Notificações

O sino no cabeçalho lista as notificações recentes, com Mark all as read e Show All Notifications. A página Notifications tem as abas All, Success, Failures, Review Requests e Flagged, e você pode selecionar itens para excluí-los ou marcá-los como lidos. Durante um primeiro scan, você pode ver mensagens como “Repository created” e “Scan completed”. Uma mensagem “Repository creation failed” indica o repositório, e uma mensagem de cobertura parcial informa qual parte do scan não terminou.

Support, no rodapé da barra lateral ou no menu do perfil, abre um formulário Contact support: preencha o Subject, escolha Category e Priority, escreva a Message e clique em Send ticket. A equipe responde por e-mail.

O que significa “enriching”

A saída dos scanners é bruta. O enriquecimento a transforma em achados que você consegue priorizar:

• Validação. Cada achado mantém a severidade do scanner e também recebe uma severidade validada por IA.
• Deduplicação. A repetição de um achado anterior no mesmo local vira uma duplicata. Um achado de dependência para a mesma biblioteca, versão e CVE no mesmo local vira um subachado do principal.
• Contexto. Alcançabilidade, EPSS para achados que têm CVE, um mapeamento de CWE para o OWASP Top 10, controles do OWASP CI/CD Top 10 e seus frameworks de compliance.
• Pontuação e responsável. Um score de prioridade de 0 a 100, um valor de confiança e um responsável (issue owner) obtido do blame do SCM no arquivo afetado.

Se sua organização ativou o AI False-Positive Detection, ele também executa uma análise por IA após o scan. Achados que ainda estão em enriquecimento ficam ocultos na lista de achados por padrão, e os concluídos recebem o rótulo “AI-Analysed”. Por isso a lista pode parecer curta logo depois que um scan chega a Completed. O módulo 4 explica cada campo em detalhe.

Um primeiro tour pelo Dashboard

Quando o onboarding termina, você chega ao Dashboard. A barra lateral e a paleta de comandos ⌘K funcionam como descrito no módulo 1. A paleta só navega entre seções; ela não busca achados nem repositórios.

Quase todo o curso acontece nos itens da barra lateral. Em Pentest, o AI Swarm Pentest aparece como “AI Pentest” (módulo 6). Findings é onde você faz a triagem (módulo 4), XBOM é o inventário de componentes (módulo 8), a página Automations (Plexicus Automation) é tratada no módulo 9 e Settings, no módulo 10.

Filtros e abas

A barra de filtros define o período (7d, 30d, 90d, All ou Custom) e o repositório, e os widgets acompanham essa seleção. A aba ativa fica registrada na URL, então um link terminado em ?tab=compliance abre direto a aba Compliance.

Aba	Principais widgets
CISO	Your value, Risk Posture Score, New vs Fixed, Findings Report, Top Risky Repositories, Total Findings, Supply Chain, Internet exposure
DevSecOps	Reachability Split, Aging Buckets, MTTR / Remediation Velocity, Scanner Coverage, Language Risk, OWASP Top 10, OWASP CI/CD Top 10
Compliance	Números por framework (Controls, Open findings, Critical / High, Fixed, Affected assets) e uma tabela controle a controle, conforme o seu plano
Developer	My repositories, Fix Impact Simulator e atalhos “Jump into findings”, como Critical & High e Reachable
Custom	Seus próprios dashboards nomeados: Create a dashboard, Add widget, Edit layout

Como ler seus primeiros números

• Os totais contam apenas o trabalho em aberto. Eles excluem duplicatas, subachados, falsos positivos, achados excluídos e achados já em Fixed, por isso podem ser menores que a contagem bruta reportada por um scan. Achados de hardening são contados separadamente dos números de vulnerabilidades.
• Your value mostra estimativas de benchmark do tempo de desenvolvimento economizado. Você pode configurar o valor por hora e a moeda, mas esses números são de benchmark, não medições do seu ambiente. Apresente-os dessa forma.
• Risk Posture Score vai de 0 a 100, e quanto maior, maior o risco. Ele pondera os achados em aberto pela severidade, dá mais peso aos achados comprovadamente alcançáveis e é exibido em relação a uma linha de apetite a risco que, por enquanto, é fixa e não pode ser configurada.
• Scanner Coverage mostra há quanto tempo cada repositório e cada ferramenta foram escaneados. Um repositório marcado como “Never scanned” ainda não concluiu nenhum scan.
• Compliance mostra “No compliance frameworks configured” se você escolheu “None for now” durante o onboarding. O botão Configure frameworks abre a aba Regulations das configurações da sua organização.

Um widget que mostra “No data yet” não tem nada a exibir para os filtros atuais. Amplie o período ou confira no Activity Center se a execução chegou a Enriched.

Principais pontos

• O onboarding tem quatro etapas: Connect, Choose repos, Basic config e Scanning. O primeiro scan só começa quando você clica em Start scan, então defina os padrões de compliance e o idioma antes disso. Uma base de código de demonstração permite explorar sem conectar o seu próprio código.
• Cada permissão do SCM corresponde a uma tarefa: leitura para descobrir e escanear, escrita para abrir pull requests e issues, webhooks para marcar como Fixed as correções que receberam merge. O Plexicus nunca faz merge; sua equipe mantém o controle do merge.
• Adicione repositórios em lotes de até 5 em Assets Repo Scan e escaneie a branch que você de fato coloca em produção.
• Em um scan travado, use Finalize Now para manter os achados. Re-Scan exclui e recria o repositório e apaga todos os achados dele, enquanto Relaunch scan no Activity Center não exclui nada.
• Um scan termina em Enriched, não em Completed. O enriquecimento adiciona severidade validada, deduplicação, alcançabilidade, EPSS, mapeamentos, prioridade e responsável. Uma execução Partial (Degraded) entrega achados reais, mas com cobertura incompleta; cubra a lacuna com Relaunch scan, não com Re-Scan.
• Os totais do Dashboard contam apenas o trabalho em aberto. Use as abas e os filtros para confirmar a cobertura antes de começar a triagem.