Informationen zum custom security configurations
Mit custom security configurationsdiesem Feature können Sie Sammlungen von Aktivierungseinstellungen für GitHubsicherheitsrelevante Produkte erstellen, um die spezifischen Sicherheitsanforderungen Ihres Unternehmens zu erfüllen. Sie können beispielsweise für jede Organisation oder Gruppe von Organisationen eine andere custom security configuration erstellen, um ihre eindeutigen Sicherheitsanforderungen und Complianceverpflichtungen widerzuspiegeln.
Sie können auch auswählen, ob Sie die Funktionen GitHub Code Security oder GitHub Secret Protection in eine Konfiguration aufnehmen möchten oder nicht.
Wenn Sie dies tun, sollten Sie bedenken, dass diese Features Nutzungskosten verursachen (oder Lizenzen erfordern), wenn sie auf private und interne Repositories angewendet werden GitHub Advanced Security. Weitere Informationen finden Sie unter Informationen zu GitHub Advanced Security.
>[!IMPORTANT]
> Die Reihenfolge und die Namen einiger Einstellungen unterscheiden sich je nachdem, ob du Lizenzen für das ursprüngliche GitHub Advanced Security-Produkt oder für die beiden neuen Produkte verwendest: GitHub Code Security und GitHub Secret Protection. Siehe [Erstellen einer GitHub Advanced Security Konfiguration](#creating-a-github-advanced-security-configuration) oder [Erstellen einer Secret Protection and Code Security Konfiguration](#creating-a-secret-protection-and-code-security-configuration).
Erstellen einer Secret Protection and Code Security Konfiguration
- Navigieren Sie zu Ihrem Unternehmen. Beispielsweise auf der Seite Unternehmen in GitHub.com.
- Klicke oben auf der Seite auf Settings.
- Klicke auf der linken Randleiste auf Advanced Security.
- Klicken Sie im Abschnitt "Security configurations" auf "Neue Konfiguration".
- Um Ihren custom security configuration Zweck auf der Seite "Security configurations" zu identifizieren und zu klären, benennen Sie Ihre Konfiguration, und erstellen Sie eine Beschreibung.
- Aktivieren Sie optional "Secret Protection", ein kostenpflichtiges Feature für private und interne Repositorys. Das Aktivieren von Secret Protection aktiviert Warnungen für secret scanning. Darüber hinaus können Sie auswählen, ob die vorhandenen Einstellungen für die folgenden secret scanning Features aktiviert, deaktiviert oder beibehalten werden sollen:
*
Gültigkeitsprüfungen. Weitere Informationen zu Gültigkeitsprüfungen für Partnermuster finden Sie unter Bewerten von Warnungen aus dem Secret-Scanning.
*
Erweiterte Metadaten. Weitere Informationen zu erweiterten Metadatenüberprüfungen finden Sie unter "Informationen zu erweiterten Metadatenüberprüfungen und Bewerten von Warnungen aus dem Secret-Scanning".
Hinweis
Sie können erweiterte Metadatenüberprüfungen nur aktivieren, wenn Gültigkeitsprüfungen aktiviert sind.
-
**Nicht-Anbieter-Muster**. Weitere Informationen zum Scannen nach Nicht-Anbietermustern finden Sie unter [AUTOTITLE](/code-security/secret-scanning/introduction/supported-secret-scanning-patterns#non-provider-patterns) und [AUTOTITLE](/code-security/secret-scanning/managing-alerts-from-secret-scanning/viewing-alerts). -
**Scan für generische Kennwörter**. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/secret-scanning/copilot-secret-scanning/responsible-ai-generic-secrets). -
**Push-Schutz**. Informationen zum Pushschutz finden Sie unter [AUTOTITLE](/code-security/secret-scanning/introduction/about-push-protection). -
**Bypass-Privilegien**. Durch Zuweisen von Umgehungsberechtigungen oder Ausnahmen können ausgewählte Akteure den Pushschutz umgehen oder überspringen. Es gibt einen Überprüfungs- und Genehmigungsprozess für alle anderen Mitwirkenden. Siehe [AUTOTITLE](/code-security/secret-scanning/using-advanced-secret-scanning-and-push-protection-features/delegated-bypass-for-push-protection/about-delegated-bypass-for-push-protection). -
**Verhindern von direkten Warnhinweisen**. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/secret-scanning/using-advanced-secret-scanning-and-push-protection-features/enabling-delegated-alert-dismissal-for-secret-scanning).
-
- Aktivieren Sie optional "Code Security", ein kostenpflichtiges Feature für private und interne Repositorys. Sie können auswählen, ob die vorhandenen Einstellungen für die folgenden code scanning Features aktiviert, deaktiviert oder beibehalten werden sollen: * Standardeinrichtung. Weitere Informationen zum Standardsetup findest du unter Konfigurieren des Standardsetups für das Code-Scanning.
Hinweis
Um eine Konfiguration zu erstellen, die du unabhängig von den aktuellen code scanning-Setups auf alle Repositorys anwenden kannst, wähle „Enabled with advanced setup allowed“ aus. Diese Einstellung aktiviert das Standardsetup nur in Repositorys, in denen die CodeQL-Analyse nicht aktiv ausgeführt wird. Option in GitHub Enterprise Server 3.19 verfügbar.
-
**Runner Typ**. Wenn Sie bestimmte code scanning-Läufer anvisieren möchten, können Sie in diesem Schritt benutzerdefinierte und beschriftete Läufer verwenden. Siehe [AUTOTITLE](/code-security/code-scanning/enabling-code-scanning/configuring-default-setup-for-code-scanning#assigning-labels-to-runners).
*
**Verhindern von direkten Warnhinweisen**. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/code-scanning/managing-your-code-scanning-configuration/enabling-delegated-alert-dismissal-for-code-scanning).
-
Wählen Sie weiterhin unter "Code Security" in der Tabelle "Abhängigkeitsscan" aus, ob Sie die vorhandenen Einstellungen für die folgenden Abhängigkeitsscanfeatures aktivieren, deaktivieren oder beibehalten möchten: * Abhängigkeitsdiagramm Weitere Informationen zum Abhängigkeitsdiagramm findest du unter Informationen zum Abhängigkeitsdiagramm.
Tipp
Wenn sowohl "Code Security" als auch Abhängigkeitsdiagramm aktiviert sind, aktiviert dies die Abhängigkeitsüberprüfung, siehe Informationen zur Abhängigkeitsüberprüfung.
-
**Automatische Übermittlung von Abhängigkeiten**. Informationen zur automatischen Abhängigkeitsübermittlung finden Sie unter [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-automatic-dependency-submission-for-your-repository). -
** Dependabot Warnungen**. Weitere Informationen Dependabotfinden Sie unter [AUTOTITLE](/code-security/dependabot/dependabot-alerts/about-dependabot-alerts). -
**Sicherheitsupdates**. Weitere Informationen zu Sicherheitsupdates finden Sie unter [AUTOTITLE](/code-security/dependabot/dependabot-security-updates/about-dependabot-security-updates). -
**Verhindern von direkten Warnhinweisen**. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/dependabot/dependabot-alerts/enable-delegated-alert-dismissal). -
** Malware alerts **. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/concepts/supply-chain-security/dependabot-malware-alerts).
-
-
Du kannst auswählen, ob du die vorhandenen Einstellungen für „Private vulnerability reporting“ aktivieren, deaktivieren oder beibehalten möchtest. Informationen zur Berichterstellung zu privaten Sicherheitsrisiken finden Sie unter Konfigurieren der Meldung privater Sicherheitsrisiken für ein Repository.
-
Optional kannst du im Abschnitt „Policy“ steuern, wie die Konfiguration angewendet werden soll: * Als Standard für neu erstellte Repositories verwenden. Wählen Sie das Dropdownmenü "Keine" aus, und klicken Sie dann auf "Öffentlich", " Privat" und "Intern" oder auf "Alle Repositorys".
Hinweis
Die Standardeinstellung security configuration für eine Organisation wird nur automatisch auf neue Repositorys angewendet, die in deiner Organisation erstellt werden. Wenn ein Repository in Ihre Organisation übertragen wird, müssen Sie immer noch eine entsprechende security configuration manuell auf das Repository anwenden.
-
**Konfiguration erzwingen**. Hindere Repositorybesitzer daran, Features zu ändern, die in der Konfiguration aktiviert oder deaktiviert wurden (nicht festgelegte Features werden nicht erzwungen). Wähle im Dropdownmenü die Option **Enforce** aus.
Hinweis
In einigen Fällen kann die Erzwingung von security configurations unterbrochen werden. Weitere Informationen findest du unter Erzwingung der Sicherheitskonfiguration.
-
-
Klicken Sie auf "custom security configuration, um die Erstellung abzuschließen****.
Erstellen einer GitHub Advanced Security Konfiguration
- Navigieren Sie zu Ihrem Unternehmen. Beispielsweise auf der Seite Unternehmen in GitHub.com.
- Klicke oben auf der Seite auf Settings.
- Klicke auf der linken Randleiste auf Advanced Security.
- Klicke im oberen Bereich auf Neue Konfiguration.
- Um Ihren custom security configuration Zweck auf der Seite "Neue Konfiguration" zu identifizieren und zu verdeutlichen, benennen Sie Ihre Konfiguration, und erstellen Sie eine Beschreibung.
- Wählen Sie in der Zeile "GitHub Advanced Security Features" aus, ob GitHub Advanced Security (GHAS-Funktionen) eingeschlossen oder ausgeschlossen werden sollen.
- Wählen Sie in der Tabelle "Secret scanning" aus, ob Sie die vorhandenen Einstellungen für die folgenden Sicherheitsfeatures aktivieren, deaktivieren oder beibehalten möchten: * Gültigkeitsprüfungen. Weitere Informationen zu Gültigkeitsprüfungen für Partnermuster finden Sie unter Bewerten von Warnungen aus dem Secret-Scanning. * Nicht-Anbieter-Muster. Weitere Informationen zum Scannen nach Nicht-Anbietermustern finden Sie unter Unterstützte Scanmuster für Secrets und Anzeigen und Filtern von Warnungen aus der Secrets-Überprüfung. * Scan für generische Kennwörter. Weitere Informationen finden Sie unter Verantwortungsvolle Erkennung von generischen Geheimnissen mit Copilot Secret Scanning. * Push-Schutz. Informationen zum Pushschutz finden Sie unter Informationen zum Pushschutz. * Verhindern von direkten Warnhinweisen. Weitere Informationen finden Sie unter Aktivieren des delegierten Schließens von Warnungen für die Geheimnisüberprüfung.
- Wählen Sie in der Tabelle "Code scanning" aus, ob Sie die vorhandenen Einstellungen für code scanning die Standardeinrichtung aktivieren, deaktivieren oder beibehalten möchten. * Standardeinrichtung. Weitere Informationen findest du unter Konfigurieren des Standardsetups für das Code-Scanning.
Hinweis
Um eine Konfiguration zu erstellen, die du unabhängig von den aktuellen code scanning-Setups auf alle Repositorys anwenden kannst, wähle „Enabled with advanced setup allowed“ aus. Diese Einstellung aktiviert das Standardsetup nur in Repositorys, in denen die CodeQL-Analyse nicht aktiv ausgeführt wird. Option in GitHub Enterprise Server 3.19 verfügbar.
-
**Runner Typ**. Wenn Sie bestimmte code scanning-Läufer anvisieren möchten, können Sie in diesem Schritt benutzerdefinierte und beschriftete Läufer verwenden. Siehe [AUTOTITLE](/code-security/code-scanning/enabling-code-scanning/configuring-default-setup-for-code-scanning#assigning-labels-to-runners).
*
**Verhindern von direkten Warnhinweisen**. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/code-scanning/managing-your-code-scanning-configuration/enabling-delegated-alert-dismissal-for-code-scanning).
-
Wähle in der Tabelle „Scannen von Abhängigkeiten“ aus, ob du die bestehenden Einstellungen für die folgenden Funktionen des Scannens von Abhängigkeiten aktivieren, deaktivieren oder beibehalten möchtest: * Abhängigkeitsdiagramm Weitere Informationen zum Abhängigkeitsdiagramm findest du unter Informationen zum Abhängigkeitsdiagramm.
Tipp
Wenn sowohl "GitHub Advanced Security" als auch Abhängigkeitsdiagramm aktiviert sind, aktiviert dies die Abhängigkeitsüberprüfung, siehe Informationen zur Abhängigkeitsüberprüfung.
-
**Automatische Übermittlung von Abhängigkeiten**. Informationen zur automatischen Abhängigkeitsübermittlung finden Sie unter [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-automatic-dependency-submission-for-your-repository). -
** Dependabot Warnungen**. Weitere Informationen Dependabotfinden Sie unter [AUTOTITLE](/code-security/dependabot/dependabot-alerts/about-dependabot-alerts). -
**Sicherheitsupdates**. Weitere Informationen zu Sicherheitsupdates finden Sie unter [AUTOTITLE](/code-security/dependabot/dependabot-security-updates/about-dependabot-security-updates). -
**Verhindern von direkten Warnhinweisen**. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/dependabot/dependabot-alerts/enable-delegated-alert-dismissal). -
** Malware alerts **. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/concepts/supply-chain-security/dependabot-malware-alerts).
-
-
Du kannst auswählen, ob du die vorhandenen Einstellungen für „Private vulnerability reporting“ aktivieren, deaktivieren oder beibehalten möchtest. Informationen zur Berichterstellung zu privaten Sicherheitsrisiken finden Sie unter Konfigurieren der Meldung privater Sicherheitsrisiken für ein Repository.
-
Optional kannst du im Abschnitt „Policy“ steuern, wie die Konfiguration angewendet werden soll: * Als Standard für neu erstellte Repositories verwenden. Wählen Sie das Dropdownmenü "Keine" aus, und klicken Sie dann auf "Öffentlich", " Privat" und "Intern" oder auf "Alle Repositorys".
Hinweis
Die Standardeinstellung security configuration für eine Organisation wird nur automatisch auf neue Repositorys angewendet, die in deiner Organisation erstellt werden. Wenn ein Repository in Ihre Organisation übertragen wird, müssen Sie immer noch eine entsprechende security configuration manuell auf das Repository anwenden.
-
**Konfiguration erzwingen**. Hindere Repositorybesitzer daran, Features zu ändern, die in der Konfiguration aktiviert oder deaktiviert wurden (nicht festgelegte Features werden nicht erzwungen). Wähle im Dropdownmenü die Option **Enforce** aus.
Hinweis
In einigen Fällen kann die Erzwingung von security configurations unterbrochen werden. Weitere Informationen findest du unter Erzwingung der Sicherheitskonfiguration.
-
-
Klicken Sie auf "custom security configuration, um die Erstellung abzuschließen****.
Nächste Schritte
Informationen zum optionalen Konfigurieren zusätzlicher secret scanning Einstellungen für das Unternehmen finden Sie unter Zusätzliche Einstellungen für Secret Scanning für dein Unternehmen festlegen.
Um Ihr custom security configuration auf Repositorys in Ihrer Organisation anzuwenden, siehe Anwenden einer benutzerdefinierten Sicherheitskonfiguration.
Informationen zum Bearbeiten deiner custom security configuration findest du unter Bearbeiten einer angepassten Sicherheitskonfiguration.