为 GitHub Enterprise Server 上易受攻击的依赖项启用警报

关于 GitHub Enterprise Server 上易受攻击的依赖项的警报

To identify vulnerable dependencies in your repository and receive alerts about vulnerabilities, you need to enable two security features:

The dependency graph
Dependabot 警报

For more information, see "About the dependency graph" and "About alerts for vulnerable dependencies."

我们从以下来源添加漏洞到 GitHub Advisory Database：

国家漏洞数据库
机器学习和人工审查结合检测 GitHub 上公共提交中的漏洞
GitHub 上报告的安全通告
npm 安全通告数据库

You can connect 您的 GitHub Enterprise Server 实例 to GitHub.com, then sync vulnerability data to your instance and generate Dependabot 警报 in repositories with a vulnerable dependency.

After connecting 您的 GitHub Enterprise Server 实例 to GitHub.com and enabling the dependency graph and Dependabot 警报 for vulnerable dependencies, vulnerability data is synced from GitHub.com to your instance once every hour. 您还可以随时选择手动同步漏洞数据。代码和关于代码的信息不会从您的 GitHub Enterprise Server 实例上传到 GitHub.com。

When 您的 GitHub Enterprise Server 实例 receives information about a vulnerability, it will identify repositories in your instance that use the affected version of the dependency and generate Dependabot 警报. 您可以自定义接收 Dependabot 警报的方式。更多信息请参阅“为易受攻击的依赖项配置通知”。

Before enabling the dependency graph and Dependabot alerts for vulnerable dependencies on 您的 GitHub Enterprise Server 实例, you must connect 您的 GitHub Enterprise Server 实例 to GitHub.com. For more information, see "Connecting your enterprise account to GitHub Enterprise Cloud."

Enabling the dependency graph and Dependabot 警报 on GitHub Enterprise Server

For 您的 GitHub Enterprise Server 实例 to generate Dependabot 警报 whenever vulnerabilities are detected on your repositories:

You must connect 您的 GitHub Enterprise Server 实例 to GitHub.com. 更多信息请参阅“将 GitHub Enterprise Server 连接到 GitHub Enterprise Cloud”。
You must enable the dependency graph.

启用依赖关系图

登录到 http(s)://HOSTNAME/login 上的您的 GitHub Enterprise Server 实例。
In the administrative shell, enable the dependency graph on 您的 GitHub Enterprise Server 实例:
```
$ ghe-config app.github.dependency-graph-enabled true
```
注：有关启用通过 SSH 访问管理 shell 的更多信息，请参阅“访问管理 shell (SSH)”。
应用配置。
```
$ ghe-config-apply
```
返回到 GitHub Enterprise Server。

启用 Dependabot 警报

Before enabling Dependabot 警报 for your instance, you need to enable the dependency graph. For more information, see above.

在 GitHub Enterprise Server 的右上角，单击您的个人资料照片，然后单击 Enterprise settings（Enterprise 设置）。
在企业帐户侧边栏中，单击 Settings（设置）。
在左侧边栏中，单击 GitHub Connect。
在“Repositories can be scanned for vulnerabilities（可扫描仓库漏洞）”下，使用下拉菜单，并选择 Enabled without notifications（启用但不发通知）。（可选）要启用包含通知的警报，请选择 Enabled with notifications（启用并发通知）。

We recommend configuring Dependabot 警报 without notifications for the first few days to avoid an overload of emails. 几天后，您可以开启通知，像往常一样接收 Dependabot 警报。