ソフトウェアサプライチェーンの理解

サプライチェーンのセキュリティについて

GitHubは、環境内の依存関係の理解からそれらの依存関係の脆弱性を把握するところまで、サプライチェーンを確保してその脆弱性をパッチできるようにします。

依存関係グラフを使って、プロジェクトの依存関係をすべて特定できます。依存関係グラフは、幅広く一般的なパッケージエコシステムをサポートします。

依存関係グラフは、さまざまなエコシステムをサポートしています。

依存関係グラフを有効にすることで、ユーザーはプロジェクトの依存関係を識別できます。

依存関係の自動送信を使用して、推移的な依存関係データをリポジトリに送信できます。これにより、依存関係グラフを使用して、これらの推移的な依存関係を分析できます。

リポジトリのソフトウェア部品表、つまり、SBOM を依存関係グラフからエクスポートすることができます。 SBOM を使用すると、オープンソースの使用状況に対する透明性が得られ、サプライチェーンの脆弱性を見つけるのに役立ち、サプライチェーンのリスクが軽減されます。

依存関係送信 API を使うと、プロジェクトがビルドまたはコンパイルされるときに解決される依存関係など、プロジェクトの依存関係を送信できます。

依存関係のレビューを使うと、安全でない依存関係を自分の環境に持ち込んでしまう前に捉え、ライセンス、依存物、依存関係の期間に関する情報を確認できます。

You can use the 依存関係レビューアクション to catch vulnerabilities before they are added to your project.

依存関係レビュー構成に基本的なカスタマイズを追加する方法について説明します。

依存関係レビューにより、セキュリティで保護されていない依存関係を環境に導入する前に検出します。組織全体で依存関係レビューアクションの使用を実施できます。

依存関係グラフを使用すると、プロジェクトが依存しているパッケージと、そのプロジェクトに依存しているリポジトリを確認できます。また、その依存関係で脆弱性が検出されると、それも表示されます。

依存関係グラフによって報告された依存関係の情報が期待したものと異なる場合、いくつかの考慮するポイントと、さまざまな確認項目があります。