Skip to main content
Publicamos atualizações frequentes em nossa documentação, e a tradução desta página ainda pode estar em andamento. Para obter as informações mais atualizadas, acesse a documentação em inglês.

Visualizando e atualizando alertas do Dependabot

Se o GitHub Enterprise Server descobrir dependências inseguras no seu projeto, você poderá visualizá-las na guia de alertas do Dependabot no seu repositório. Você pode atualizar seu projeto para resolver ou descartar o alerta.

Quem pode usar esse recurso

Repository administrators and organization owners can view and update dependencies, as well as users and teams with explicit access.

Observação: o administrador do site precisa configurar as Dependabot updates do your GitHub Enterprise Server instance para que você possa usar esse recurso. Para obter mais informações, confira "Como habilitar o Dependabot para sua empresa".

A guia Dependabot alerts do repositório lista todos os Dependabot alerts abertos e fechados e as Dependabot security updates correspondentes. Você pode filtrar os alertas por pacote, ecossistema ou manifesto. Você pode classificar a lista de alertas, além de poder clicar em alertas específicos para mais detalhes. Você também pode ignorar ou reabrir alertas. Para obter mais informações, confira "Sobre Dependabot alerts."

Você pode habilitar atualizações automáticas de segurança para qualquer repositório que usa os Dependabot alerts e o grafo de dependência. Para obter mais informações, confira "Sobre as Dependabot security updates".

Sobre atualizações para dependências vulneráveis no seu repositório

GitHub Enterprise Server gera Dependabot alerts quando detectamos que sua base de código está usando dependências com riscos de segurança conhecidos. Para repositórios em que Dependabot security updates estão habilitados, quando GitHub Enterprise Server detecta uma dependência vulnerável no branch padrão, Dependabot cria um pull request para corrigi-la. O pull request irá atualizar a dependência para a versão minimamente segura possível, o que é necessário para evitar a vulnerabilidade.

Cada alerta de Dependabot tem um identificador único de número e a aba de Dependabot alerts lista um alerta para cada vulnerabilidade detectada. O legado de Dependabot alerts agrupou as vulnerabilidades por dependência e gerou um único alerta por dependência. Se você acessar um alerta de legado Dependabot, você será redirecionado para uma aba de Dependabot alerts filtrada para esse pacote.

Você pode filtrar e classificar Dependabot alerts usando uma variedade de filtros e opções de classificação disponíveis na interface do usuário. Para obter mais informações, confira "Como priorizar Dependabot alerts", abaixo.

Como priorizar Dependabot alerts

A GitHub ajuda você a priorizar a correção de Dependabot alerts.

Você pode classificar e filtrar Dependabot alerts digitando filtros como pares key:value na barra de pesquisa.

OpçãoDescriçãoExemplo
ecosystemExibe alertas para o ecossistema selecionadoUsar ecosystem:npm para mostrar Dependabot alerts para npm
isExibe alertas com base no estadoUsar is:open para mostrar alertas abertos
manifestExibe alertas para o manifesto selecionadoUsar manifest:webwolf/pom.xml para mostrar alertas no arquivo pom.xml do aplicativo webwolf
packageExibe alertas para o pacote selecionadoUsar package:django para mostrar alertas para o django
resolutionExibe alertas do status de resolução selecionadoUsar resolution:no-bandwidth para mostrar alertas estacionados anteriormente devido à falta de recursos ou de tempo para corrigi-los
repoExibe alertas com base no repositório ao qual eles se relacionam
Observe que esse filtro só está disponível na visão geral de segurança. Para obter mais informações, confira "Sobre a visão geral de segurança".
Usar repo:octocat-repo para mostrar alertas no repositório chamado octocat-repo
severityExibe alertas com base no nível de gravidadeUsar severity:high para mostrar alertas com nível de gravidade Alto

Além dos filtros disponíveis por meio da barra de pesquisa, você pode classificar e filtrar dados Dependabot alerts usando os menus suspensos na parte superior da lista de alertas.

A barra de pesquisa também permite a pesquisa completa de texto de alertas e avisos de segurança relacionados. Você pode pesquisar parte de um nome de consultoria de segurança ou descrição para retornar os alertas em seu repositório relacionados a esse aviso de segurança. Por exemplo, a pesquisa yaml.load() API could execute arbitrary code retornará Dependabot alerts vinculados a "PyYAML desserializa de maneira insegura cadeias de caracteres YAML que levam à execução arbitrária do código" à medida que a cadeia de caracteres de pesquisa aparece na descrição do aviso.

Você pode selecionar um filtro em um menu suspenso na parte superior da lista e, em seguida, clicar no filtro que você deseja aplicar. Captura de tela dos menus de filtro e classificação na guia dos Dependabot alerts

Exibir Dependabot alerts

  1. No your GitHub Enterprise Server instance, navegue até a página principal do repositório. 1. Abaixo do nome do repositório, clique em Segurança. Guia Segurança 1. Na barra lateral de segurança, clique em Dependabot alerts . Se essa opção está ausente, isso significa que você não tem acesso aos alertas de segurança e precisa receber o acesso. Para obter mais informações, confira "Como gerenciar configurações de segurança e análise para seu repositório".Guia Dependabot alerts
  2. Opcionalmente, para filtrar alertas, selecione um filtro no menu suspenso e clique no filtro que deseja aplicar. Você também pode digitar filtros na barra de pesquisa. Para obter mais informações sobre filtragem e classificação de alertas, confira "Como priorizar Dependabot alerts". Captura de tela do filtro e dos menus de classificação na guia Dependabot alerts
  3. Clique no alerta que você deseja exibir. Alerta selecionado na lista de alertas

Revisão e correção de alertas

É importante garantir que todas as suas dependências estejam livres de quaisquer falhas de segurança. Quando Dependabot descobre vulnerabilidades descobre vulnerabilidades em suas dependências, você deve avaliar o nível de exposição do seu projeto e determinar quais etapas de correção devem ser tomadas para proteger seu aplicativo.

Se uma versão corrigida da dependência estiver disponível, você poderá gerar uma solicitação de pull Dependabot para atualizar essa dependência diretamente de um alerta Dependabot. Se a opção Dependabot security updates estiver habilitada, a solicitação de pull poderá ser vinculada ao alerta do Dependabot.

Nos casos em que uma versão corrigida não está disponível ou você não pode atualizar para a versão segura, Dependabot compartilha informações adicionais para ajudar você a determinar as próximas etapas. Ao clicar para visualizar um alerta Dependabot, você pode ver os detalhes completos do aviso de segurança para a dependência, incluindo as funções afetadas. Em seguida, você pode verificar se o código chama as funções afetadas. Essas informações podem ajudar a avaliar melhor o seu nível de risco e determinar soluções alternativas ou se você pode aceitar o risco representado pela conselho de segurança.

Corrigir dependências vulneráveis

  1. Exiba os detalhes de um alerta. Para obter mais informações, confira "Exibir Dependabot alerts" acima.

  2. Se você tiver a opção Dependabot security updates habilitada, poderá haver um link para uma solicitação de pull que corrigirá a dependência. Como alternativa, você pode clicar em Criar atualização de segurança Dependabot na parte superior da página de detalhes do alerta para criar uma solicitação de pull. Botão Criar uma atualização de segurança do Dependabot

  3. Opcionalmente, se você não usar Dependabot security updates, poderá usar as informações na página para decidir para qual versão da dependência atualizar e criar uma solicitação de pull para atualizar a dependência para uma versão segura.

  4. Quando estiver pronto para atualizar a dependência e resolver a vulnerabilidade, faça merge da pull request.

    Cada solicitação de pull gerada pelo Dependabot inclui informações sobre os comandos que você pode usar para controlar o Dependabot. Para obter mais informações, confira "Como gerenciar solicitações de pull para atualizações de dependência".

Ignorar Dependabot alerts

Dica: você só pode ignorar alertas em aberto.

Se você agendar um trabalho extensivo para atualizar uma dependência ou decidir que um alerta não precisa ser corrigido, poderá ignorar o alerta. Ignorar alertas que você já avaliou facilita a triagem de novos alertas à medida que aparecem.

  1. Exiba os detalhes de um alerta. Para obter mais informações, confira "Exibir dependências vulneráveis" (acima).
  2. Selecione o menu suspenso "Ignorar" e clique em um motivo para ignorar o alerta. Os alertas ignorados não corrigidos poderão ser reabertos mais tarde. Como escolher o motivo para ignorar o alerta no menu suspenso "Ignorar"

Visualizando e atualizando alertas fechados

Você pode visualizar todos os alertas abertos e reabrir alertas que foram descartados anteriormente. Alertas fechados que já foram corrigidos não poderão ser reabertos.

  1. No your GitHub Enterprise Server instance, navegue até a página principal do repositório. 1. Abaixo do nome do repositório, clique em Segurança. Guia Segurança 1. Na barra lateral de segurança, clique em Dependabot alerts . Se essa opção está ausente, isso significa que você não tem acesso aos alertas de segurança e precisa receber o acesso. Para obter mais informações, confira "Como gerenciar configurações de segurança e análise para seu repositório".Guia Dependabot alerts

  2. Para ver apenas os alertas fechados, clique em Fechados. Captura de tela mostrando a opção "Fechado"

  3. Clique no alerta que deseja ver ou atualizar. Captura de tela mostrando um alerta dependabot destacado

  4. Opcionalmente, se o alerta foi ignorado e você deseja reabri-lo, clique em Reabrir. Alertas que já foram corrigidos não poderão ser reabertos.

    Observação: esse recurso não estava disponível no GitHub Enterprise Server 3.5.0, 3.5.1, 3.5.2 e 3.5.3. O recurso está disponível na versão 3.5.4 e posterior. Para mais informações sobre atualizações, entre em contato com o administrador do site.

    Para obter mais informações sobre como determinar a versão de GitHub Enterprise Server que você está usando, confira "Sobre versões de GitHub Docs".

    Captura de tela mostrando o botão "Reabrir"

Revisão dos logs de auditoria do Dependabot alerts

Quando um membro da sua organização ou empresa executa uma ação relacionada ao Dependabot alerts, você pode examiná-las no log de auditoria. Para obter mais informações sobre como acessar o log, confira "Como examinar o log de auditoria da sua organização" e "Como ecessar o log de auditoria da sua empresa."

Os eventos no log de auditoria do Dependabot alerts incluem detalhes da ação, como quem a executou, qual foi executada e quando. Para obter informações sobre as ações das ações do Dependabot alerts, confira a categoria repository_vulnerability_alert em "Como examinar o log de auditoria da sua organização" and "Eventos de log de auditoria da sua empresa."