Dependabot アラートの表示と更新

リポジトリの [ Dependabot ] タブには、開いている Dependabot alerts と閉じているすべての Dependabot security updatesが一覧表示されます。 パッケージ、エコシステム、マニフェストでアラートをフィルター処理できます。 アラートの一覧を並べ替えたり、特定のアラートをクリックしてその詳細を表示したりすることができます。 アラートを 1 つずつ、または複数のアラートを一度に選択して、閉じるか、再度開くこともできます。 詳細については、「Dependabot アラート」を参照してください。

リポジトリ内の脆弱性のある依存関係の更新について

各 Dependabot アラートには一意の数値識別子があり、[ Dependabot ] タブには検出されたすべての脆弱性に対するアラートが一覧表示されます。 レガシ Dependabot alerts 依存関係ごとに脆弱性をグループ化し、依存関係ごとに 1 つのアラートを生成しました。 従来の Dependabot アラートに移動すると、そのパッケージに対してフィルター処理された Dependabot タブにリダイレクトされます。

ユーザー インターフェイスで使用できるさまざまなフィルターと並べ替えオプションを使用して、 Dependabot alerts をフィルター処理および並べ替えることができます。 詳細については、以下の「Dependabot alertsの表示と優先順位付け」を参照してください。

また、 Dependabot アラートに応答して実行されたアクションを監査することもできます。 詳細については、「セキュリティ アラートの監査」を参照してください。

表示と優先順位付け Dependabot alerts

Dependabot alertsを表示、並べ替え、フィルター処理して、最も重要なアラートに集中できます。

既定では、アラートは [最も重要] で並べ替えられます。これにより、潜在的な影響、アクション可能性、関連性などの要因に基づいて修正プログラムの優先順位を付けるのに役立ちます。 この優先順位付けは継続的に改善され、CVSS スコア、依存関係スコープ、脆弱な関数呼び出しが検出されるかどうかなどのシグナルが考慮されます。

reachability analysisが有効になっている場合、最も重要は、"到達可能"、"到達可能な可能性がある"、または "到達可能性不明" とマークされたアラートをより高くランク付けします。 「到達不能」とマークされたアラートのみが優先度を下げられます。 リポジトリの分析を有効にするには、 Dependabot アラートの到達可能性分析の構成 を参照してください。

リポジトリの [Dependabot alerts] タブで、開いているDependabot security updatesと閉じているすべてのDependabotを表示できます。

AI エージェントにアラートを割り当てると、エージェントは自動的にセッションを作成し、提案された修正プログラムを含むドラフト pull request を開きます。 エージェントが修正プログラムを生成できない場合は、アラートの担当者として残ります。 アラート タイムラインで [ セッションの表示 ] をクリックすると、エージェントのログを確認し、pull request が作成されなかった理由を理解できます。 エージェントを担当者として削除できるのは、ユーザーだけです。

1. GitHub で、リポジトリのメイン ページに移動します。

2. リポジトリ名の下にある [ Security and quality ] タブをクリックします。[ Security and quality] タブが表示されない場合は、 ドロップダウン メニューを選択し、[ Security and quality] をクリックします。

3. サイドバーの [結果] セクションで、 Dependabot ドロップダウン メニューを選択し、[ 脆弱性] をクリックします。

4. 必要に応じて、アラートの一覧を絞り込みます。

   • 一覧の上部にあるドロップダウン メニューを使用して、アラートを並べ替えたりフィルター処理したりします。

• 検索バーに直接入力して、アラートの詳細と関連するセキュリティ アドバイザリ全体のフルテキスト検索など、アラートをフィルター処理します。

• reachability analysis有効になっている場合は、[Reachability] ドロップダウン メニューを使用して、判定でフィルター処理します。 分析では現在、JavaScript と TypeScript の依存関係がサポートされています。 たとえば、[到達可能] と [到達可能の可能性] を選択するか、検索バーに「reachability:reachable,potentially-reachable」と入力します。

• アラートのラベルをクリックすると、そのラベルでリストが自動的にフィルター処理されます。

• 開発の依存関係に影響するアラートを特定するには、 scope:development フィルターでフィルター処理するか、"開発" というラベルの付いたアラートを探します。 これは、運用環境の依存関係に影響を与えるアラートの優先順位を最初に設定するのに役立ちます。

  

1. アラートをクリックすると、その詳細が表示されます。 開発スコープの依存関係のアラートには、アラートの詳細ページの [タグ] セクションに "開発" ラベルが含まれます。

   

2. 右側のパネルで、アラートの所有権を割り当てます。

   • [担当者] の横にある ドロップダウン メニューをクリックして、一覧からユーザー、チーム、または AI エージェントを選択します。 [ エージェントに割り当てる] をクリックして、エージェント に直接割り当てることもできます。

   エージェントにアラートを割り当てると、ダイアログが表示され、必要に応じて次のことができます。

   • 修正プログラムに関する追加のコンテキストを含むカスタム プロンプトを追加します。
   • 別のリポジトリを選択します。
   • 使用する AI モデルを選択します。
   • 構成したカスタム エージェントを選択します (特殊なタスクに推奨)。

3. 必要に応じて、関連するセキュリティ アドバイザリの改善を提案するには、アラートの詳細ページの右側で、GitHub Advisory Databaseの [このアドバイザリの機能強化の提案] をクリックします。 「GitHub Advisory Database でのセキュリティ アドバイザリの編集」を参照してください。

アラートの優先順位付けのヒント

• 最も重要な並べ替え順序を使用して、潜在的な影響が最も高いアラートに集中します。

• 重大度、EPSS、依存関係スコープ、依存関係の関係を到達可能性とあわせて考慮し、「到達可能」または「到達可能性あり」というラベルの付いたアラートに優先順位を付けます。

• "到達不能" アラートの優先度を低くしますが、その判定のためだけに無視しないでください。 結果は、コードまたはアドバイザリの変更に応じて変更される可能性があります。

• 「到達可能性が使用不可」の結果には、他の優先順位付けシグナルを使用してください。 結果を取得できない場合でも、脆弱な関数を呼び出せないことを意味するわけではありません。

• 開発の依存関係よりも運用環境の依存関係に影響するアラートに優先順位を付けます。

• 担当者機能を使用して、各アラートに対処する担当者を明確にし、チームがより効果的に脆弱性を追跡して修復できるようにします。

• Dependabot 自動トリアージ ルールを使用して、アラートに自動的に優先順位を付けたり、管理したりします。 「Dependabot 自動優先順位設定ルール」を参照してください。

依存関係スコープでサポートされているエコシステムとマニフェスト ファイルの詳細については、 依存関係スコープでサポートされるエコシステムとマニフェスト を参照してください。

使用可能なフィルターの完全な一覧については、 AUTOTITLE を参照してください。

プログラムでアラートを取得するには、 Dependabot alerts の REST API エンドポイント を参照してください。

アラートの確認と修正

GitHub Copilot Enterprise ライセンスを使用すると、組織内のリポジトリのGitHub Copilot Chatについて理解を深めるために、Dependabot alertsにヘルプを依頼することもできます。 詳細については、「Copilot Chatのプロンプトの使い始めGitHub」を参照してください。

Dependabotアラートの詳細を確認して、脆弱性とその修正方法を理解できます。

到達性の証拠を確認中

Reachability analysis は、アラートに判定を追加し、到達可能なアラートの場合は、コードが脆弱な関数を呼び出す方法を示す呼び出しパスの証拠を追加します。 呼び出しパスは、脆弱性が悪用される可能性があることを証明するものではありません。 判定の定義と機能の可用性については、 Dependabot アラートの到達可能性分析について を参照してください。

1. "到達可能" の判定でアラートを開く。
2. [到達可能性の呼び出しパス] セクションで、コードの場所を確認し、[ 呼び出しパスの表示] をクリックします。
3. リポジトリのコードから、依存関係をたどって脆弱な関数までのパスに従います。 コード内の箇所を使用して、影響を受ける依存関係をアプリケーションが呼び出す場所を特定します。
4. 複数のサンプル パスが使用可能な場合は、ダイアログのドロップダウン メニューを使用して別のパスを調べてください。

ダイアログには最大 5 つのサンプル パスが表示されます。すべての呼び出しパスが表示されるわけではありません。 判定には、最新の完了したスキャンが反映され、必ずしも最新のコード変更が反映されるとは限りません。 この証跡を使用して、対処に優先順位を付け、計画します。 Reachability analysis では、アラートを自動的に閉じたり解除したりすることはありません。

脆弱性のある依存関係を修正する

1. アラートの詳細を表示します。 詳細については、Dependabot alertsの表示と優先順位付け (上記) を参照してください。

2. Dependabot security updates有効にしている場合は、依存関係を修正する pull request へのリンクが存在する可能性があります。 または、アラートの詳細ページの上部にある [ セキュリティ更新プログラム Dependabot 作成 ] をクリックしてプル要求を作成することもできます。

   

3. 必要に応じて、 Dependabot security updatesを使用しない場合は、ページの情報を使用して、アップグレード先の依存関係のバージョンを決定し、プル要求を作成して依存関係をセキュリティで保護されたバージョンに更新できます。

4. 依存関係を更新して脆弱性を解決する準備ができたら、プルリクエストをマージしてください。

Dependabotによって発生する各プル要求には、Dependabotを制御するために使用できるコマンドに関する情報が含まれています。 詳細については、「依存関係の更新に関するPull Requestを管理する」を参照してください。

Dependabot alerts を無視します

依存関係をアップグレードするための広範な作業をスケジュールする場合や、アラートを修正する必要がないと判断した場合は、アラートを無視できます。 既に評価済みのアラートを無視すると、新しいアラートが表示されたときに簡単にトリアージできます。

1. Dependabot alertsの表示と優先順位付け(上記)。

2. [無視する] ドロップダウンを選択し、アラートを無視する理由をクリックします。 修正されていない無視されたアラートは、後で再度開くことができます。

3. 必要に応じて、無視のコメントを追加します。 無視のコメントはアラート タイムラインに追加され、監査と報告の間に正当な理由として使用できます。 GraphQL API を使用して、コメントを取得または設定できます。 コメントは dismissComment フィールドに含まれています。 詳細については、GraphQL API ドキュメントの「Dependabot」を参照してください。

   

4. [アラートを無視] をクリックします。

複数のアラートを一度に却下する

1. 開いている Dependabot alertsを表示します。
2. 必要に応じて、ドロップダウン メニューを選び、適用するフィルターをクリックして、アラートの一覧をフィルター処理します。 検索バーにフィルターを入力することもできます。
3. 各アラートのタイトルの左側で、無視するアラートを選びます。

1. 必要に応じて、アラートの一覧の上部で、ページ上のすべてのアラートを選びます。

1. [アラートを無視する] ドロップダウンを選び、アラートを無視する理由をクリックします。

クローズされたアラートの表示と更新

開いているすべてのアラートを表示し、以前に却下したアラートをもう一度開くことができます。 既に修復済みのクローズされたアラートをもう一度開くことはできません。

1. GitHub で、リポジトリのメイン ページに移動します。

2. リポジトリ名の下にある [ Security and quality ] タブをクリックします。[ Security and quality] タブが表示されない場合は、 ドロップダウン メニューを選択し、[ Security and quality] をクリックします。

3. サイドバーの [結果] セクションで、 Dependabot ドロップダウン メニューを選択し、[ 脆弱性] をクリックします。

4. クローズされたアラートのみを表示するには、 [Closed] をクリックします。

   

5. 表示または更新するアラートをクリックします。

6. 必要に応じて、却下されたアラートを再度開く場合は、 [Reopen] をクリックします。 既に修正されたアラートをもう一度開くことはできません。

   

一度に複数のアラートをもう一度開く

1. 閉じた Dependabot alerts を表示します。
2. 各アラート タイトルの左で、各アラートの隣にあるチェックボックスをクリックし、再開するアラートを選びます。
3. 必要に応じて、アラートの一覧の上部で、ページ上のすべてのクローズされたアラートを選びます。

1. [再度開く] をクリックして、アラートをもう一度開きます。 既に修正されたアラートをもう一度開くことはできません。

監査ログを確認するDependabot alerts

組織 またはエンタープライズ のメンバーが Dependabot alertsに関連するアクションを実行すると、監査ログのアクションを確認できます。 ログへのアクセスの詳細については、 あなたの組織の監査ログを確認する および 企業の監査ログにアクセスする.

Dependabot alertsの監査ログのイベントには、アクションを実行したユーザー、アクションの内容、アクションが実行された日時などの詳細が含まれます。 イベントには、アラート自体へのリンクも含まれています。 組織のメンバーがアラートを無視すると、イベントに無視する理由とコメントが表示されます。 Dependabot alertsアクションの詳細については、repository_vulnerability_alert および . の