シークレット スキャンからのアラートの評価

アラートの評価について

アラートの優先順位付けと管理を強化するため、アラートを評価するうえで便利な追加機能がいくつかあります。 次のことを実行できます。

• シークレットの有効性をチェックし、シークレットがまだアクティブかどうかを確認します。 詳しくは、「シークレットの有効性のチェック」を参照してください。
• "オンデマンド"の有効性チェックを実行し、最新の有効性の状態を取得します。 詳しくは、「オンデマンドの有効性チェックの実行」を参照してください。
• トークンのメタデータを確認します。 GitHubトークンにのみ適用されます。 たとえば、トークンが最後に使用された日時を確認します。 詳しくは、「GitHub トークン メタデータの確認」を参照してください。
• アラートに割り当てられているラベルを確認します。 詳しくは、「アラート ラベルの確認」を参照してください。

シークレットの有効性の確認

有効性チェックは、どのシークレットが“active“または“inactive“なのかについて教え、アラートの優先順位付けに役立ちます。 “active“のシークレットは引き続き悪用される可能性があるため、これらのアラートを確認して優先事項として修復する必要があります。

既定では、GitHubはGitHubトークンの有効性をチェックし、アラート ビューにトークンの有効性の状態を表示します。

有効期限までの日数	状態	結果
アクティブなシークレット	active	GitHub はこのシークレットのプロバイダーでチェックし、シークレットがアクティブであることを確認しました
アクティブである可能性があるシークレット	unknown	GitHub は、このトークンの種類の有効性チェックをまだサポートしていません
アクティブである可能性があるシークレット	unknown	GitHub はこのシークレットを検証できませんでした
シークレットが非アクティブ	inactive	未承認のアクセスが既に行われていないことを確認する必要があります

パートナー パターンの有効性チェックは、GitHub のすべての種類のリポジトリで使用できます。 この機能を使用するには、GitHub Advanced Security のライセンスが必要です。

パートナー パターンの有効性チェックを有効化する方法の詳細については、「リポジトリの有効性チェックの有効化」を参照してください。現在サポートされているパートナー パターンの詳細については、「サポートされているシークレット スキャン パターン」を参照してください。

REST API を使用して、各トークンの最新の検証状態の一覧を取得できます。 詳しくは、REST API ドキュメントの「シークレット スキャン用の REST API エンドポイント」を参照してください。 Webhook を使用して、secret scanning アラートに関連するアクティビティの通知を受け取ることもできます。 詳しくは、「Webhook のイベントとペイロード」の secret_scanning_alert イベントをご覧ください。

GitHub Copilot Chat に secret scanning アラートについて問い合わせる

GitHub Copilot Enterprise ライセンスを使用すると、Copilot Chat に問い合わせて、組織内のリポジトリにある secret scanning アラートを含むセキュリティ アラートについて理解を深めることができます。 詳しくは、「GitHub で GitHub Copilot に質問をする」をご覧ください。

オンデマンドの有効性チェックの実行

リポジトリでパートナー パターンに有効性チェックを有効にすると、アラート ビューで[シークレットの検証] をクリックすることにより、サポートされているシークレットに“オンデマンド“の有効性チェックを実行できます。 GitHub は、関連するパートナーにパターンを送信し、アラート ビューにシークレットの検証状態を表示します。

GitHub トークン メタデータの確認

アクティブな GitHub トークン アラートのビューでは、そのトークンに関する特定のメタデータを確認できます。 このメタデータは、トークンを識別したり実行すべき修復手順を判断するのに役立ちます。

personal access token などのトークンやその他の資格情報は、個人情報と見なされます。 GitHub トークンの使用について詳しくは、「GitHub のプライバシーに関する声明」と「GitHub 利用規約」をご覧ください。

GitHub トークンのメタデータは、シークレット スキャンが有効になっているリポジトリ内にあるアクティブなトークンに使うことができます。 トークンが取り消された場合や状態を検証できない場合は、メタデータを使うことができません。 GitHub によってパブリック リポジトリ内にある GitHub トークンが自動的に取り消されるため、パブリック リポジトリ内にある GitHub トークンのメタデータを使うことができる可能性はあまりありません。 次のメタデータは、アクティブな GitHub トークンに使うことができます。

メタデータ	説明
シークレット名	作成者が GitHub に付けた名前
シークレットの所有者	トークンの所有者の GitHub ハンドル
[作成日]	トークンが作成された日付
有効期限切れ	トークンの有効期限が切れた日付
最終使用日	トークンが最後に使用された日付
Access	トークンに Organization のアクセス権があるかどうか

漏洩したシークレットを含むリポジトリに対して管理者のアクセス許可を持つユーザーのみが、アラートのセキュリティ アラート詳細およびトークン メタデータを閲覧できます。 企業所有者は、この目的のためにリポジトリへの一時的なアクセスを要求できます。アクセスが許可されている場合、GitHub は漏洩したシークレットを含むリポジトリの所有者に通知し、リポジトリ所有者と Enterprise の監査ログでアクションを報告し、アクセスを 2 時間有効化します。詳しくは、「エンタープライズ内のユーザー所有のリポジトリにアクセスする」を参照してください。

アラート ラベルの確認

アラート ビューでは、アラートに割り当てられているラベルを確認できます。 ラベルにはアラートに関する追加の詳細が表示され、修復のために実行するアプローチを通知できます。

Secret scanning アラートには、次のラベルを割り当てることができます。 割り当てられたラベルに応じて、アラート ビューに追加情報が表示されます。

Label	説明	アラート ビュー情報
public leak	リポジトリで検出されたシークレットは、GitHub のコード、ディスカッション、gist、問題、pull request、Wiki のスキャンの少なくとも 1 つによって、パブリックにリークされていることが検出されました。 これにより、緊急度の高いアラートに対処したり、プライベートに公開されたトークンとは異なる方法でアラートを修復したりする必要がある場合があります。	漏洩したシークレットが検出された特定のパブリックな場所へのリンクが表示されます。
multi-repo	リポジトリで検出されたシークレットは、Organization または Enterprise 内の複数のリポジトリで検出されました。 この情報は、Organization または Enterprise 全体のアラートをより簡単に重複排除するのに役立ちます。	適切なアクセス許可がある場合は、Organization または Enterprise 内の同じシークレットに対する特定のアラートへのリンクが表示されます。

次のステップ

• シークレット スキャンからのアラートの解決