Code security guides
コードのセキュリティの改善をGitHubが支援する様々な方法について学んでください。
- 1概要
セキュリティ脆弱性の調整された開示について
脆弱性の開示は、セキュリティの報告者とリポジトリメンテナの調整された取り組みです。 - 2概要
GitHub Advisory Database について
GitHub Advisory Database には、既知のセキュリティの脆弱性 とマルウェアの一覧が含まれており、これらは、GitHub でレビューされたアドバイザリとレビューされていないアドバイザリの 2 つのカテゴリにグループ化されます。 - 3概要
グローバル セキュリティ アドバイザリについて
グローバル セキュリティ データベースは GitHub Advisory Database にあります。これには、オープン ソース界に影響がある CVE と GitHub が発行したセキュリティ アドバイザリが含まれています。 どなたでもグローバル アドバイザリの改善に貢献できます。 - 4概要
リポジトリ セキュリティ アドバイザリについて
リポジトリにおけるセキュリティの脆弱性について、非公開で議論、修正、および情報を共有するには、リポジトリ セキュリティ アドバイザリを使用できます。 - 5ハウツー ガイド
リポジトリ セキュリティ アドバイザリを作成するためのベスト プラクティス
セキュリティ アドバイザリを作成または編集すると、標準形式を使用してエコシステム、パッケージ名、影響を受けるバージョンを指定する際に、あなたが提供する情報を他のユーザーが容易に理解できるようにすることができます。 - 6ハウツー ガイド
セキュリティの脆弱性を非公開で報告する
一部のパブリック リポジトリでは、セキュリティ アドバイザリを構成して、誰もがセキュリティの脆弱性を直接、または非公開で保守担当者に報告できるようにします。 - 7ハウツー ガイド
非公開で報告されたセキュリティの脆弱性の管理
リポジトリの保守担当者は、プライベート脆弱性レポートが有効になっているリポジトリのセキュリティ リサーチャーによって非公開で報告されたセキュリティ脆弱性を管理できます。 - 8ハウツー ガイド
リポジトリのプライベート脆弱性レポートの構成
パブリック リポジトリの所有者と管理者は、プライベート脆弱性レポートを有効にすることで、セキュリティ リサーチャーがリポジトリ内の脆弱性を安全に報告できるようにすることができます。 - 9ハウツー ガイド
リポジトリ セキュリティ アドバイザリの作成
セキュリティアドバイザリのドラフトを作成して、オープンソースプロジェクトのセキュリティ脆弱性について非公開で議論して修正することができます。 - 10ハウツー ガイド
リポジトリ セキュリティ アドバイザリへのコラボレータの追加
あなたと協力するセキュリティアドバイザリとして、ユーザや Team を追加できます。 - 11ハウツー ガイド
一時的なプライベート フォークで、リポジトリのセキュリティ脆弱性を解決するためにコラボレートする
リポジトリにおけるセキュリティ脆弱性の修正について非公開でコラボレートするため、一時的なプライベートフォークを作成できます。 - 12ハウツー ガイド
リポジトリ セキュリティ アドバイザリの公開
プロジェクト内のセキュリティ脆弱性についてコミュニティにアラートするため、セキュリティアドバイザリを公開できます。 - 13ハウツー ガイド
リポジトリ セキュリティ アドバイザリの編集
詳細を更新したりエラーを修正したりする必要がある場合は、リポジトリ セキュリティ アドバイザリのメタデータと説明を編集できます。 - 14ハウツー ガイド
リポジトリ セキュリティ アドバイザリの撤回
公開したリポジトリ セキュリティ アドバイザリを撤回できます。 - 15ハウツー ガイド
リポジトリ セキュリティ アドバイザリからのコラボレータの削除
リポジトリ セキュリティ アドバイザリからコラボレーターを削除すると、そのコラボレーターはセキュリティ アドバイザリのディスカッションとメタデータへの読み取りおよび書き込みアクセス権を失います。
Code security learning paths
セキュリティで保護されていない依存関係の通知を受け取る
依存関係に新しい脆弱性またはマルウェアが見つかった場合に警告するように Dependabot を設定します。
依存関係を最新に保つ
Dependabot を使って新しいリリースを確認し、依存関係を更新します。
シークレットのスキャン
トークン、パスワード、その他のシークレットを誤ってリポジトリにチェックインしないように Secret Scanning を設定します。
GitHub Actions で Code Scanning を実行する
既定のブランチとすべての pull request を確認して、リポジトリに脆弱性とエラーがないようにします。
CI で CodeQL Code Scanning を実行する
既存の CI 内で CodeQL を設定し、結果を GitHub Code Scanning にアップロードします。
Code Scanning と統合する
SARIF を使ってサードパーティ システムから GitHub にコード分析結果をアップロードします。
All Code security guides
リポジトリへのセキュリティ ポリシーの追加
ハウツー ガイドセキュリティポリシーをリポジトリに追加することによって、プロジェクト内のセキュリティ脆弱性を報告する方法の手順を示すことができます。
- Security policies
- Vulnerabilities
- Repositories
- Health
GitHub セキュリティ機能
概要GitHubのセキュリティ機能の概要。
- Repositories
- Dependencies
- Vulnerabilities
- Advanced Security
組織のセキュリティ保護
ハウツー ガイドOrganizationをセキュアに保つために、いくつものGitHubの機能が利用できます。
- Organizations
- Dependencies
- Vulnerabilities
- Advanced Security
リポジトリを保護する
ハウツー ガイドリポジトリをセキュアに保つために、いくつものGitHubの機能が利用できます。
- Repositories
- Dependencies
- Vulnerabilities
- Advanced Security
シークレット スキャンについて
概要GitHub はリポジトリをスキャンして既知のシークレットのタイプを探し、誤ってコミットされたシークレットの不正使用を防止します。
- Secret scanning
- Advanced Security
リポジトリのシークレット スキャンの構成
ハウツー ガイド高度なセキュリティ パターンに一致するシークレットを探すためにリポジトリをスキャンする方法を GitHub で構成することができます。
- Secret scanning
- Advanced Security
- Repositories
シークレット スキャンのカスタム パターンの定義
ハウツー ガイドを拡張して、既定のパターン以外のシークレットを検出できます。
- Advanced Security
- Secret scanning
シークレット スキャンからのアラートの管理
ハウツー ガイドリポジトリにチェックインしたシークレットのアラートを表示したりクローズしたりすることができます。
- Secret scanning
- Advanced Security
- Alerts
- Repositories
シークレット スキャンによるプッシュの保護
ハウツー ガイドsecret scanning を使って、プッシュ保護を有効にすることで、サポートされているシークレットが Organization またはリポジトリにプッシュされないようにすることができます。
- Secret scanning
- Advanced Security
- Alerts
- Repositories