A guia Dependabot alerts do repositório lista todos os Dependabot alerts abertos e fechados. Você pode filtrar os alertas por pacote, ecossistema ou manifesto. Você pode classificar a lista de alertas, além de poder clicar em alertas específicos para mais detalhes. Você também pode ignorar ou reabrir alertas. Para obter mais informações, confira "Sobre alertas do Dependabot".
Você pode filtrar e classificar Dependabot alerts usando uma variedade de filtros e opções de classificação disponíveis na interface do usuário. Para obter mais informações, confira "Como priorizar Dependabot alerts", abaixo.
Você também pode auditar as ações executadas em resposta aos alertas do Dependabot. Para obter mais informações, confira "Alertas de segurança de auditoria".
Como priorizar Dependabot alerts
A GitHub ajuda você a priorizar a correção de Dependabot alerts.
Você pode classificar e filtrar Dependabot alerts digitando filtros como pares key:value na barra de pesquisa.
| Opção | Descrição | Exemplo |
|---|---|---|
ecosystem | Exibe alertas para o ecossistema selecionado | Usar ecosystem:npm para mostrar Dependabot alerts para npm |
has | Exibe alertas atendendo aos critérios de filtro selecionados | Usar has:patch para mostrar alertas relacionados a avisos que têm um patch |
is | Exibe alertas com base no estado | Usar is:open para mostrar alertas abertos |
manifest | Exibe alertas para o manifesto selecionado | Usar manifest:webwolf/pom.xml para mostrar alertas no arquivo pom.xml do aplicativo webwolf |
package | Exibe alertas para o pacote selecionado | Usar package:django para mostrar alertas para o django |
resolution | Exibe alertas do status de resolução selecionado | Usar resolution:no-bandwidth para mostrar alertas estacionados anteriormente devido à falta de recursos ou de tempo para corrigi-los |
repo | Exibe alertas com base no repositório ao qual eles se relacionam Observe que esse filtro só está disponível na visão geral de segurança. Para obter mais informações, confira "About security overview". | Usar repo:octocat-repo para mostrar alertas no repositório chamado octocat-repo |
severity | Exibe alertas com base no nível de gravidade | Usar severity:high para mostrar alertas com nível de gravidade Alto |
Além dos filtros disponíveis por meio da barra de pesquisa, você pode classificar e filtrar dados Dependabot alerts usando os menus suspensos na parte superior da lista de alertas.
A barra de pesquisa também permite a pesquisa completa de texto de alertas e avisos de segurança relacionados. Você pode pesquisar parte de um nome de consultoria de segurança ou descrição para retornar os alertas em seu repositório relacionados a esse aviso de segurança. Por exemplo, a pesquisa yaml.load() API could execute arbitrary code retornará Dependabot alerts vinculados a "PyYAML desserializa de maneira insegura cadeias de caracteres YAML que levam à execução arbitrária do código" à medida que a cadeia de caracteres de pesquisa aparece na descrição do aviso.
Exibir Dependabot alerts
- No sua empresa, navegue até a página principal do repositório. 1. Abaixo do nome do repositório, clique em Segurança. Caso não consiga ver a guia "Segurança", selecione o menu suspenso e clique em Segurança.
- Opcionalmente, para filtrar alertas, selecione um filtro no menu suspenso e clique no filtro que deseja aplicar. Você também pode digitar filtros na barra de pesquisa. Para obter mais informações sobre filtragem e classificação de alertas, confira "Como priorizar Dependabot alerts".
- Clique no alerta que você deseja visualizar.
Revisão e correção de alertas
É importante garantir que todas as suas dependências estejam livres de quaisquer falhas de segurança. Quando Dependabot descobre vulnerabilidades descobre vulnerabilidades em suas dependências, você deve avaliar o nível de exposição do seu projeto e determinar quais etapas de correção devem ser tomadas para proteger seu aplicativo.
Nos casos em que uma versão corrigida não está disponível ou você não pode atualizar para a versão segura, Dependabot compartilha informações adicionais para ajudar você a determinar as próximas etapas. Ao clicar para visualizar um alerta Dependabot, você pode ver os detalhes completos do aviso de segurança para a dependência, incluindo as funções afetadas. Em seguida, você pode verificar se o código chama as funções afetadas. Essas informações podem ajudar a avaliar melhor o seu nível de risco e determinar soluções alternativas ou se você pode aceitar o risco representado pela conselho de segurança.
Corrigir dependências vulneráveis
-
Exiba os detalhes de um alerta. Para obter mais informações, confira "Exibir Dependabot alerts" acima.
-
Você pode usar as informações na página para decidir para qual versão da dependência atualizar e criar uma solicitação de pull para o arquivo de manifesto ou bloqueio para uma versão segura.
-
Quando estiver pronto para atualizar a dependência e resolver a vulnerabilidade, faça merge da pull request.
Ignorar Dependabot alerts
Dica: você só pode ignorar alertas em aberto.
Se você agendar um trabalho extensivo para atualizar uma dependência ou decidir que um alerta não precisa ser corrigido, poderá ignorar o alerta. Ignorar alertas que você já avaliou facilita a triagem de novos alertas à medida que aparecem.
-
Exiba os detalhes de um alerta. Para obter mais informações, confira "Exibir dependências vulneráveis" (acima).
-
Selecione o menu suspenso "Ignorar" e clique em um motivo para ignorar o alerta. Os alertas ignorados não corrigidos poderão ser reabertos mais tarde.
Visualizando e atualizando alertas fechados
Você pode visualizar todos os alertas abertos e reabrir alertas que foram descartados anteriormente. Alertas fechados que já foram corrigidos não poderão ser reabertos.
-
No sua empresa, navegue até a página principal do repositório. 1. Abaixo do nome do repositório, clique em Segurança. Caso não consiga ver a guia "Segurança", selecione o menu suspenso e clique em Segurança.
-
Para ver apenas os alertas fechados, clique em Fechados.
-
Clique no alerta que deseja ver ou atualizar.
-
Opcionalmente, se o alerta foi ignorado e você deseja reabri-lo, clique em Reabrir. Alertas que já foram corrigidos não poderão ser reabertos.
Revisão dos logs de auditoria do Dependabot alerts
Quando um membro da sua organização ou empresa executa uma ação relacionada ao Dependabot alerts, você pode examiná-las no log de auditoria. Para obter mais informações sobre como acessar o log, confira "Revisar o log de auditoria da organização" e "Como acessar o log de auditoria da sua empresa".
Os eventos no log de auditoria do Dependabot alerts incluem detalhes da ação, como quem a executou, qual foi executada e quando. Para obter informações sobre as ações do Dependabot alerts, confira a categoria repository_vulnerability_alert em "Revisar o log de auditoria da organização" e "Auditar eventos de log para sua empresa".