Skip to main content
설명서에 자주 업데이트를 게시하며 이 페이지의 번역이 계속 진행 중일 수 있습니다. 최신 정보는 영어 설명서를 참조하세요.

Dependabot 경고 정보

GitHub은 리포지토리가 취약한 종속성 또는 맬웨어를 사용하는 것을 감지하면 Dependabot alerts를 보냅니다.

Dependabot alerts은(는) GitHub.com의 모든 리포지토리에 무료로 사용할 수 있습니다.

Dependabot alerts 정보

참고: 맬웨어에 대한 권고는 현재 베타 상태이며 변경될 수 있습니다.

Dependabot alerts는 코드가 안전하지 않은 패키지에 따라 달라지는 것을 알 수 있습니다.

코드가 보안 취약성이 있는 패키지에 종속된 경우 프로젝트 또는 이를 사용하는 사람들에게 다양한 문제가 발생할 수 있습니다. 가능한 한 빨리 패키지의 보안 버전으로 업그레이드해야 합니다. 코드에서 맬웨어를 사용하는 경우 패키지를 안전한 대안으로 바꿔야 합니다.

자세한 내용은 “GitHub Advisory Database에서 보안 권고 찾아보기”를 참조하세요.

안전하지 않은 종속성 검색

Dependabot은 안전하지 않은 종속성을 검색하기 위해 검사를 수행하고 다음과 같은 경우 Dependabot alerts를 보냅니다.

  • GitHub Advisory Database에 새 권고가 추가됩니다. 자세한 내용은 “GitHub Advisory Database에서 보안 권고 찾아보기”를 참조하세요.

    참고: GitHub에서 검토한 권고만 Dependabot alerts을(를) 트리거합니다.

  • 리포지토리에 대한 종속성 그래프가 변경됩니다. 예를 들어 참가자가 패키지 또는 버전을 변경하기 위해 커밋을 푸시하는 경우 에 따라 달라지거나 종속성 중 하나의 코드가 변경되는 경우에 따라 달라집니다. 자세한 내용은 “종속성 그래프 정보”를 참조하세요.

또한 GitHub는 리포지토리의 기본 분기에 대해 수행한 끌어오기 요청에서 추가하거나 업데이트하거나 제거된 모든 종속성을 검토하고 프로젝트의 보안을 저하시키는 변경 내용에 플래그를 지정할 수 있습니다. 이렇게 하면 취약한 종속성 또는 맬웨어를 코드베이스에 도달한 이후가 아니라 그 이전에 발견 및 처리할 수 있습니다. 자세한 내용은 “끌어오기 요청에서 종속성 변경 검토”를 참조하세요.

GitHub이 안전하지 않은 종속성을 감지하는 에코시스템 목록은 “지원되는 패키지 에코시스템”을 참조하세요.

참고: 매니페스트 및 잠금 파일을 최신 상태로 유지하는 것이 중요합니다. 종속성 그래프가 현재 종속성 및 버전을 정확하게 반영하지 않는 경우 사용하는 안전하지 않은 종속성에 대한 경고를 놓칠 수 있습니다. 더 이상 사용하지 않는 종속성에 대한 경고를 받을 수도 있습니다.

Dependabot alerts의 구성

GitHub는 퍼블릭 리포지토리에서 취약한 종속성 및 맬웨어를 검색하고 종속성 그래프를 표시하지만 기본적으로 Dependabot alerts를 생성하지는 않습니다. 리포지토리 소유자 또는 관리자 액세스 권한이 있는 사용자는 퍼블릭 리포지토리에 대해 Dependabot alerts을(를) 사용하도록 설정할 수 있습니다. 프라이빗 리포지토리의 소유자 또는 관리자 액세스 권한이 있는 사용자는 해당 리포지토리에 대해 종속성 그래프 및 Dependabot alerts를 사용하도록 설정하여 Dependabot alerts를 사용하도록 설정할 수 있습니다.

사용자 계정 또는 조직이 소유한 모든 리포지토리에 대해 Dependabot alerts을(를) 사용하거나 사용하지 않도록 설정할 수도 있습니다. 자세한 내용은 “Dependabot alerts 정보”를 참조하세요.

Dependabot alerts에 관련된 작업에 대한 액세스 요구 사항에 대한 자세한 내용은 “조직의 리포지토리 역할”을 참조하세요.

GitHub은 종속성 그래프를 즉시 생성하기 시작하고 식별되는 즉시 안전하지 않은 종속성에 대한 경고를 생성합니다. 그래프는 일반적으로 몇 분 내에 채워지지만 종속성이 많은 리포지토리의 경우 더 오래 걸릴 수 있습니다. 자세한 내용은 “비공개 리포지토리에 대한 데이터 사용 설정 관리”를 참조하세요.

GitHub이 취약한 종속성을 식별하는 경우 또는 맬웨어, Dependabot 경고를 생성하고 리포지토리의 보안 탭에 를, 리포지토리의 종속성 그래프에 를 표시합니다. 경고에는 프로젝트에서 영향을 받는 파일에 대한 링크와 고정 버전에 대한 정보가 포함됩니다. GitHub은(는) 알림 기본 설정에 따라 영향을 받는 리포지토리의 유지 관리자에게 새 경고에 대해 알릴 수도 있습니다. 자세한 내용은 “Dependabot alerts에 대한 알림 구성”을 참조하세요.

Dependabot security updates가 사용하도록 설정된 리포지토리의 경우 매니페스트 또는 잠금 파일을 취약성을 해결하는 최소 버전으로 업데이트하는 끌어오기 요청에 대한 링크가 경고에 포함될 수도 있습니다. 자세한 내용은 “Dependabot security updates 정보”를 참조하세요.

참고: GitHub의 보안 기능이 모든 취약성 및 맬웨어를 포착하는 것은 아닙니다. GitHub Advisory Database를 적극적으로 유지하고 최신 정보를 사용하여 경고를 생성합니다. 그러나 보장된 시간 프레임 내에서 모든 것을 포착하거나 알려진 취약성에 대해 알려줄 수는 없습니다. 이러한 기능은 잠재적 취약성 또는 기타 문제에 대한 각 종속성의 사용자 검토를 대신하지 않으며, 보안 서비스를 참조하거나 필요한 경우 철저한 종속성 검토를 수행하는 것이 좋습니다.

Dependabot alerts에 대한 액세스

리포지토리의 보안 탭에서 특정 프로젝트 또는 리포지토리의 종속성 그래프에서 에 영향을 주는 모든 경고를 볼 수 있습니다. 자세한 내용은 “Dependabot alerts 보기 및 업데이트”를 참조하세요.

기본적으로 영향을 받는 리포지토리의 관리자 권한이 있는 사용자에게 새 Dependabot alerts에 대해 알립니다. GitHub은 리포지토리에 대한 안전하지 않은 종속성을 공개적으로 공개하지 않습니다. Dependabot alerts를 사용자가 소유하거나 관리자 권한을 가진 추가 사용자 또는 팀 작업 리포지토리에 표시할 수도 있습니다. 자세한 내용은 “리포지토리에 대한 보안 및 분석 설정 관리”를 참조하세요.

리포지토리에서 Dependabot alerts에 대한 알림을 받으려면 해당 리포지토리를 조사하고 “모든 활동” 알림을 받도록 구독하거나 “보안 경고”를 포함하도록 사용자 지정 설정을 구성해야 합니다. 자세한 내용은 “개별 리포지토리에 대한 조사 설정 구성”을 참조하세요. 알림에 대한 배달 방법 및 알림이 전송되는 빈도를 선택할 수 있습니다. 자세한 내용은 “Dependabot alerts에 대한 알림 구성”을 참조하세요.

GitHub Advisory Database의 특정 권고에 해당하는 모든 Dependabot alerts를 볼 수도 있습니다. 자세한 내용은 “GitHub Advisory Database에서 보안 권고 찾아보기”를 참조하세요.

추가 참고 자료