GitHub Enterprise Serverで脆弱性のある依存関係に対するアラートを有効化する

GitHub Enterprise Server 上の脆弱性のある依存関係に対するアラートについて

We add vulnerabilities to the GitHub Advisory Database from the following sources:

• National Vulnerability Database
• GitHub上のパブリックなコミット内の脆弱性の検出に、機械学習と人間によるレビューの組み合わせ
• Security advisories reported on GitHub
• The npm Security advisories database 詳しい情報については、「脆弱性のある依存関係に対するアラートについて」を参照してください。

your GitHub Enterprise Server instance を GitHub.com に接続し、脆弱性データをインスタンスに同期して、脆弱性のある依存関係を持つリポジトリで Dependabotアラートを生成できます。

your GitHub Enterprise Server instance を GitHub.com に接続し、脆弱性のある依存関係に対して Dependabotアラートを有効化すると、脆弱性データは 1 時間に 1 回 GitHub.com からインスタンスに同期されます。 また、脆弱性データはいつでも手動で同期することができます。 your GitHub Enterprise Server instance からのコードまたはコードに関する情報は、GitHub.com にアップロードされません。

your GitHub Enterprise Server instance は脆弱性に関する情報を受け取ると、影響を受けるバージョンの依存関係を使用するインスタンス内のリポジトリを識別し、Dependabot alerts を生成します。 Dependabot alerts を受け取る方法をカスタマイズできます。 詳しい情報については、「脆弱性のある依存関係に対する通知を設定する」を参照してください。

GitHub Enterprise Server 上の脆弱性のある依存関係に対して Dependabot alerts を有効化にする

your GitHub Enterprise Server instance 上の脆弱性のある依存関係に対する Dependabotアラートを有効にする前に、your GitHub Enterprise Server instance を GitHub.com に接続する必要があります。 詳細は、「GitHub Enterprise ServerをGitHub Enterprise Cloudに接続する」を参照してください。

メールの過負荷を避けるため、最初の数日間は Dependabot alerts を通知なしに設定することをお勧めします。 数日後、通知を有効化すれば、通常どおり Dependabot alerts を受信できます。

1. http(s)://HOSTNAME/loginでyour GitHub Enterprise Server instanceにサインインしてください。

2. 管理シェルで、your GitHub Enterprise Server instance の脆弱性のある依存関係に対する Dependabotアラートを有効にします。

   $ ghe-dep-graph-enable

   注釈: SSH 経由で管理シェルへのアクセスを有効化する方法について詳しくは、「管理シェル (SSH) にアクセスする」を参照してください。

3. 次に、

GitHub Enterprise Server. 1. GitHub Enterprise Serverの右上で、プロフィール写真をクリックし、続いてEnterprise settings（Enterpriseの設定）をクリックしてください。

1. Enterpriseアカウントのサイドバーで、 Settings（設定）をクリックしてください。
   
2. 左のサイドバーでGitHub Connectをクリックしてください。
   
3. [Repositories can be scanned for vulnerabilities] で、ドロップダウンメニューを使用して、[Enabled without notifications] を選択します。 必要に応じて、通知を含むアラートを有効化にするには、[Enabled with notifications] を選択します。
   

GitHub Enterprise Serverで脆弱性のある依存関係を表示する

your GitHub Enterprise Server instanceですべての脆弱性を表示し、GitHub.comから脆弱性データを手動で同期して、リストを更新することができます。

1. GitHub Enterprise Serverの管理アカウントから、任意のページの右上にあるをクリックしてください。
   
2. 左サイドバーで [Vulnerabilities] をクリックします。
   
3. 脆弱性データを同期するには、[Sync Vulnerabilities now] をクリックします。