# Dependabot マルウェアアラート Dependabot malware alerts は、プロジェクトとそのユーザーを保護するために、依存関係内のマルウェアを特定するのに役立ちます。多くの場合、ソフトウェアはさまざまなソースのパッケージに依存し、プロジェクトのセキュリティを脅かす可能性のある依存関係を作成します。たとえば、悪意のあるアクターは悪意のあるパッケージを使用してマルウェア攻撃を実行し、コード、データ、ユーザー、共同作成者にアクセスできます。プロジェクトのセキュリティを維持するために、 Dependabot は既知の悪意のあるパッケージの依存関係を確認し、推奨される修復手順でアラートを作成できます。 ## Dependabotがmalware alertsを送信するとき Dependabot は、リポジトリの既定のブランチ内のパッケージに悪意のあるフラグが設定されている場合に malware alerts を送信します。 GitHub.com でパッケージにフラグが立てられると同時に、既存の依存関係に関するアラートが生成されます (1 時間ごとにインスタンスに同期)。既知の悪意のあるパッケージを追加したり、パッケージを既知の悪意のあるバージョンに更新したりするコミットをプッシュすると、アラートも生成されます。 > \[!NOTE] > 内部パッケージのエコシステム、名前、バージョンが悪意のあるパブリックパッケージのものと一致する場合、 Dependabot は誤検知アラートを生成する可能性があります。 ## 警告の内容 Dependabotが悪意のある依存関係を検出すると、リポジトリの \[malware alert] タブに Securityが表示されます。各アラートには次のものが含まれます。 * 影響を受けるファイルへのリンク * パッケージ名、影響を受けるバージョン、修正プログラムが適用されたバージョン (使用可能な場合) など、悪意のあるパッケージに関する詳細 * 修復ステップ ## Availability 現在、 Dependabot malware alerts は、 `npm` エコシステム内のパッケージで使用できます。 ## 警告の通知既定では、 GitHub は次の両方のユーザーに新しいアラートに関する電子メール通知を送信します。 * リポジトリに対する書き込み、保守、または管理者のアクセス許可を持っている * リポジトリを監視していて、セキュリティアラートまたはリポジトリのすべてのアクティビティに対する通知を有効にしている通知の受信が多すぎる場合は、 Dependabot 自動トリアージルールを利用してリスクの低いアラートを自動的に無視することをお勧めします。「[Dependabot 自動優先順位設定ルール](/ja/enterprise-server@3.22/code-security/concepts/supply-chain-security/dependabot-auto-triage-rules)」を参照してください。 ## 制限事項 Dependabot malware alerts にはいくつかの制限があります。 * アラートでは、すべてのセキュリティの問題をキャッチすることはできません。依存関係を常に確認し、マニフェストとロックファイルを最新の状態に保ち、正確な検出を行います。 * 新しいマルウェアが GitHub Advisory Database に表示され、アラートがトリガーされるまでに時間がかかる場合があります。 * GitHubによってレビューされたアドバイザリのみがアラートをトリガーします。 * Dependabot はアーカイブされたリポジトリをスキャンしません。 * GitHub Actions、アラートは、SHA バージョン管理ではなく、セマンティックバージョン管理を使用するアクションに対してのみ生成されます。 GitHub は、リポジトリの悪意のある依存関係を公開することはありません。 ## 次のステップ悪意のある依存関係からプロジェクトの保護を開始するには、 [Dependabot マルウェアアラートの構成](/ja/enterprise-server@3.22/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-malware-alerts) を参照してください。