Сведения о функциях безопасности GitHub
Функции безопасности GitHubпомогают обеспечить безопасность кода и секретов в репозиториях и в разных организациях.
- Некоторые функции доступны для всех репозиториев по умолчанию.
- Дополнительные возможности доступны предприятиям, которые покупают продукт GitHub Advanced Security : * GitHub Secret Protection * GitHub Code Security
Доступно для всех планов GitHub
Следующие функции безопасности доступны для использования независимо от плана GitHub . Для использования этих функций вам не нужно приобрести GitHub Secret Protection or GitHub Code Security.
Политика безопасности
Предоставьте пользователям простую возможность конфиденциально сообщать об уязвимостях системы безопасности, обнаруженных в репозитории. Дополнительные сведения см. в разделе Добавление политики безопасности в репозиторий.
Граф зависимостей
Схема зависимостей позволяет изучать экосистемы и пакеты, от которых зависит ваш репозиторий, а также репозитории и пакеты, которые зависят от вашего репозитория.
Схему зависимостей можно найти на вкладке Аналитика репозитория. Дополнительные сведения см. в разделе Сведения о графе зависимостей.
Спецификация программного обеспечения
Вы можете экспортировать граф зависимостей репозитория в виде совместимого с SPDX программного обеспечения (SBOM). Дополнительные сведения см. в разделе Экспорт программного счета за материалы для репозитория.
GitHub Advisory Database
В GitHub Advisory Database содержится проверенный список уязвимостей системы безопасности, в котором можно искать и отфильтровывать нужные элементы. Дополнительные сведения см. в разделе Просмотр рекомендаций по безопасности в базе данных рекомендаций по GitHub.
Dependabot alerts обновления системы безопасности
Просматривайте оповещения о зависимостях, в которых имеются уязвимости системы безопасности, и решайте, нужно ли автоматически создавать запросы на включение внесенных изменений для обновления этих зависимостей. Дополнительные сведения см. в разделе [AUTOTITLE и Сведения об оповещениях Dependabot](/code-security/dependabot/dependabot-security-updates/about-dependabot-security-updates).
Можно также использовать по умолчанию Правила автообработки зависимостей с помощью GitHub для автоматического фильтрации значительного количества ложных срабатываний.
Общие сведения о различных функциях, предлагаемых Dependabot и инструкции по началу работы см. в разделе Краткое руководство по зависимостям.
Dependabot version updates
Используйте Dependabot для автоматического создания запросов на включение внесенных изменений, чтобы поддерживать зависимости в актуальном состоянии. Это помогает снизить риски для более старых версий зависимостей. Использование более новых версий упрощает применение исправлений при обнаружении уязвимостей безопасности, а также упрощает создание запросов на включение внесенных изменений для обновления уязвимых зависимостей для Dependabot security updates. Вы также можете настроить Dependabot version updates для упрощения интеграции с репозиториями. Дополнительные сведения см. в разделе Сведения об обновлениях версий Dependabot.
Наборы правил репозитория
Применение согласованных стандартов кода, безопасности и соответствия требованиям между ветвями и тегами. Дополнительные сведения см. в разделе Сведения о наборе правил.
Доступно с помощью GitHub Secret Protection
Для учетных записей на GitHub Enterprise Server, вы можете получить доступ к дополнительным функциям безопасности при покупке GitHub Secret Protection.
GitHub Secret Protection включает функции, которые помогают обнаруживать и предотвращать утечки секретов, например secret scanning и защиты от отправки.
Эти функции доступны для всех типов репозитория.
Секретное сканирование
Автоматически обнаруживайте маркеры или учетные данные, которые были возвращены в репозиторий. Вы можете просмотреть оповещения для любых секретов, которые GitHub находятся в коде на вкладке "Безопасность " репозитория, чтобы узнать, какие маркеры или учетные данные следует рассматривать как скомпрометированные. Дополнительные сведения см. в разделе Сведения о оповещениях проверки секретов.
Защита от push-уведомлений
Защита push-уведомлений упреждает сканирование кода и кода всех участников репозитория для секретов во время принудительного выполнения и блокирует отправку при обнаружении секретов. Если участник обходит блок, GitHub создает оповещение. Дополнительные сведения см. в разделе Сведения о защите push-уведомлений.
Делегированный обход для защиты от push-уведомлений
Делегированный обход для защиты push-уведомлений позволяет управлять тем, какие лица, роли и команды могут обойти защиту push-уведомлений, а также реализует цикл проверки и утверждения для push-уведомлений, содержащих секреты. Дополнительные сведения см. в разделе Сведения о делегированной обходе для защиты от push-уведомлений.
Пользовательские шаблоны
Вы можете определить пользовательские шаблоны для идентификации секретов, которые не обнаружены шаблонами по умолчанию, поддерживаемыми secret scanning, например шаблонов, которые являются внутренними для вашей организации. Дополнительные сведения см. в разделе Определение пользовательских шаблонов для проверки секретов.
Обзор безопасности
Обзор безопасности позволяет просматривать общий ландшафт безопасности организации, просматривать тенденции и другие аналитические сведения, а также управлять конфигурациями безопасности, что упрощает мониторинг состояния безопасности организации и определение репозиториев и организаций, которые подвергаются наибольшему риску. Дополнительные сведения см. в разделе Общие сведения о безопасности.
Доступно с помощью GitHub Code Security
Для учетных записей на GitHub Enterprise Server, вы можете получить доступ к дополнительным функциям безопасности при покупке GitHub Code Security.
GitHub Code Security включает функции, которые помогают находить и устранять уязвимости, такие как code scanning, функции данных Dependabot и проверка зависимостей.
Эти функции доступны для всех типов репозитория.
Code scanning
Автоматически обнаруживайте уязвимости безопасности и ошибки в новом или измененном коде. Возможные проблемы выделяются и для них приводятся подробные сведения, что позволяет исправлять код до его слияния с ветвью по умолчанию. Дополнительные сведения см. в разделе Сведения о проверке кода.
CodeQL CLI
Запустите CodeQL локально в проектах программного обеспечения или создайте результаты code scanning для отправки в GitHub. Дополнительные сведения см. в разделе Сведения о интерфейсе командной строки CodeQL.
Пользовательские правила автоматической сортировки для Dependabot
Помогите управлять данными Dependabot alerts в масштабе. При использовании пользовательские правила автоматической сортировки у вас есть контроль над оповещениями, которые вы хотите игнорировать, отключать или активировать обновление системы безопасности Dependabot. Дополнительные сведения см. в разделе [AUTOTITLE и Сведения об оповещениях Dependabot](/code-security/dependabot/dependabot-auto-triage-rules/customizing-auto-triage-rules-to-prioritize-dependabot-alerts).
Просмотр зависимостей
Отображение полного влияния изменений на зависимости и просмотр сведений об уязвимых версиях до слияния запроса на включение внесенных изменений. Дополнительные сведения см. в разделе Сведения о проверке зависимостей.
Обзор безопасности
Обзор безопасности позволяет просматривать общий ландшафт безопасности организации, просматривать тенденции и другие аналитические сведения, а также управлять конфигурациями безопасности, что упрощает мониторинг состояния безопасности организации и определение репозиториев и организаций, которые подвергаются наибольшему риску. Дополнительные сведения см. в разделе Общие сведения о безопасности.
Дополнительные материалы
-
[AUTOTITLE](/get-started/learning-about-github/githubs-plans) -
[AUTOTITLE](/get-started/learning-about-github/about-github-advanced-security) -
[AUTOTITLE](/get-started/learning-about-github/github-language-support)