# Dependabot 恶意软件警报

Dependabot malware alerts 帮助你识别依赖项中的恶意软件，以保护项目及其用户。

软件通常依赖于来自各种源的包，从而创建可能威胁项目安全性的依赖项关系。 例如，不良参与者可以使用恶意包来执行恶意软件攻击，从而访问代码、数据、用户和参与者。

为了帮助确保项目安全， Dependabot 可以检查依赖项是否存在已知的恶意包，然后使用建议的修正步骤创建警报。

## 当Dependabot发送malware alerts时

Dependabot 当存储库的默认分支中的包被标记为恶意时发送 malware alerts 。 当新的咨询数据从 GitHub.com 上标记了包，就会生成现有依赖关系的警报。

当您推送提交以添加已知恶意包或将包更新到已知恶意版本时，也会生成警报。

> \[!NOTE]
> 如果内部包的生态系统、名称和版本与恶意公共包的生态系统、名称和版本匹配， Dependabot 可能会生成误报警报。

## 预警内容

检测到恶意依赖项时，<c0 /> 会在存储库的 <c1 /><c2 /></c2> 选项卡上显示一个 <c3 />。每个警报包括：

* 指向受影响文件的链接
* 有关恶意包的详细信息，包括包名称、受影响的版本和修补的版本（如果可用）
* 修正步骤

## Availability

目前， Dependabot malware alerts 可用于生态系统中的 `npm` 包。

## 警报通知

默认情况下， GitHub 向两者发送有关新警报的电子邮件通知：

* 对存储库具有写入、维护或管理员权限
* 正在监视存储库，并为安全警报或存储库上的所有活动启用通知

如果担心收到过多通知，建议利用 Dependabot 自动分类规则 自动消除低风险警报。 请参阅“[Dependabot 自动分类规则](/zh/enterprise-server@3.22/code-security/concepts/supply-chain-security/dependabot-auto-triage-rules)”。

## 局限性

Dependabot malware alerts 存在一些限制：

* 警报无法检测每个安全问题。 始终查看依赖项，并保持清单和锁定文件的最新状态，以便进行准确的检测。
* 新恶意软件可能需要一段时间才会出现在GitHub Advisory Database中，并触发警报。
* 只有经过GitHub审查的公告会触发警报。
* Dependabot 不会扫描存档的存储库。
* 对于 GitHub Actions，系统仅针对使用语义版本控制（而不是 SHA 版本控制）的操作生成警报。

GitHub 从不公开披露任何存储库的恶意依赖项。

## 后续步骤

若要开始保护项目免受恶意依赖项的侵害，请参阅 [配置 Dependabot 恶意软件警报](/zh/enterprise-server@3.22/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-malware-alerts)。