Введение
В этом руководстве показано, как настроить функции безопасности для репозитория. Чтобы настроить параметры безопасности для репозитория, необходимо быть администратором репозитория или владельцем организации.
У каждого репозитория свои потребности в безопасности, поэтому вам может не потребоваться включить все функции для репозитория. Дополнительные сведения см. в разделе Функции безопасности GitHub.
Некоторые функции доступны для всех репозиториев. Для предприятий, использующих GitHub Advanced Security, доступны дополнительные функции. Дополнительные сведения см. в разделе Сведения о GitHub Advanced Security.
Управление доступом к репозиторию
Первым шагом к защите репозитория является определение пользователей, которые могут просматривать и изменять код. Дополнительные сведения см. в разделе Управление параметрами и функциями репозитория.
На главной странице репозитория щелкните Параметры, а затем прокрутите вниз до "Зона опасности".
- Чтобы настроить пользователей, которые могут просматривать репозиторий, выберите Изменить видимость. Дополнительные сведения см. в разделе Настройка видимости репозитория.
- Чтобы настроить пользователей, у которых есть доступ к репозиторию, и изменить разрешения, выберите Управление доступом. Дополнительные сведения см. в разделе Управление командами и пользователями с доступом к репозиторию.
Управление графом зависимостей
Владельцы предприятия могут настроить Dependabot alerts для предприятия. Дополнительные сведения см. в разделах "Включение Dependabot для предприятия".
Дополнительные сведения см. в разделе Изучение зависимостей репозитория.
Управление Dependabot alerts
Dependabot alerts создаются, когда GitHub выявляет зависимость в графе зависимостей с уязвимостью.
Примечание. Dependabot alerts в настоящее время доступен в бета-версии и может быть изменен.
Дополнительные сведения см. в разделах Сведения об оповещениях Dependabot.
Настройка проверки зависимостей
Проверка зависимостей позволяет визуализировать изменения зависимостей в запросах на вытягивание, прежде чем они будут объединены в репозитории. Дополнительные сведения см. в разделе Сведения о проверке зависимостей.
Проверка зависимостей — это функция GitHub Advanced Security. Чтобы включить проверку зависимостей для репозитория, убедитесь, что включен граф зависимостей, и включите GitHub Advanced Security.
- На главной странице репозитория щелкните Параметры.
- Выберите Безопасность и анализ.
- Убедитесь, что граф зависимостей настроен для вашего предприятия.
- Если функция GitHub Advanced Security не включена, нажмите кнопку Включить.
Настройка функции "code scanning"
Вы можете настроить code scanning для автоматического обнаружения уязвимостей и ошибок в коде, хранящейся в репозитории, с помощью Рабочий процесс анализа CodeQL или стороннего средства. Дополнительные сведения см. в разделе Настройка проверки кода для репозитория.
Code scanning доступен , для репозиториев, принадлежащих организации, если ваше предприятие использует GitHub Advanced Security.
Настройка функции "secret scanning"
Secret scanning доступно для принадлежащих организации репозиториев в GitHub AE. Это функция входит в состав GitHub Advanced Security (на этапе бета-версии предоставляется бесплатно).
-
На главной странице репозитория щелкните Параметры.
-
Щелкните Анализ & безопасности кода.
-
Если GitHub Advanced Security еще не включен, нажмите кнопку Включить.
-
Рядом с Secret scanning нажмите Включить.
Настройка политики безопасности
Если вы являетесь обслуживаемым репозиторием, рекомендуется указать политику безопасности для репозитория, создав файл с именем SECURITY.md в репозитории. Этот файл содержит инструкции пользователям о том, как лучше всего связаться с вами и сотрудничать с вами, когда они хотят сообщить об уязвимостях системы безопасности в репозитории. Политику безопасности репозитория можно просмотреть на вкладке Безопасность репозитория.
- На главной странице репозитория щелкните Безопасность.
- Выберите Политика безопасности.
- Нажмите кнопку Запуск установки.
- Добавьте сведения о поддерживаемых версиях проекта и о том, как сообщить об уязвимости.
Дополнительные сведения см. в разделе Добавление политики безопасности в репозиторий.
Дальнейшие действия
Вы можете просматривать оповещения функций безопасности и управлять ими для обработки зависимостей и уязвимостей в коде. Дополнительные сведения см. в разделе "Управление оповещениями проверки кода для репозитория" и "Управление оповещениями о проверке секретов".
Вы также можете использовать средства GitHub для аудита ответов на оповещения системы безопасности. Дополнительные сведения см. в разделе Аудит оповещений системы безопасности.