イシューを用いたコードスキャンアラートの追跡

メモ

Code scanningGitHubに関連する問題を利用したアラート追跡は現在パブリックプレビューの段階にあり、変更が加えられる可能性があります。

メモ

この機能を使用するには、サイト管理者が code scanning を有効にする必要があります。詳しくは、「アプライアンスのコードスキャンの構成」をご覧ください。

エンタープライズ所有者がエンタープライズレベルでcode scanning ポリシーを設定している場合、GitHub Code Securityを有効または無効にできない場合があります。詳しくは、「エンタープライズのコードセキュリティと分析のためのポリシーの適用」をご覧ください。

アラートから問題へのリンクのしくみ

コードに脆弱性が特定された場合、アラートを課題にリンクして、修復作業を追跡できます。これにより、既存の計画およびプロジェクト管理ワークフローにセキュリティ修正が加わり、スプリント計画、プロジェクトボード、チームバックログに脆弱性が表示されます。

各アラートは 1 つの問題にリンクできますが、各問題は最大 50 個の異なるアラートを追跡できます。この柔軟性により、チームのワークフローに応じて、関連する脆弱性をグループ化したり、個別に追跡したりできます。

アクセス権があり GitHub Issues が有効なリポジトリの問題に、アラートをリンクすることができます。これは、アラートが検出されたリポジトリに限りません。これは、中央リポジトリで作業を追跡する場合や、セキュリティ修正のために別の問題トラッカーを使用する場合に便利です。

アラートと問題の状態は自動的に同期されません。 アラートに加えた変更によってリンクされた問題は更新されず、その逆も同様です。これは、以下のようなことを意味します。

修復の進行状況を明確に追跡します。 修正プログラムをコミットするときに、コードが更新されたことを示すコメントをリンクされた問題に追加します。次の code scanning 実行でアラートが閉じられたかどうかを確認したら、問題を手動で閉じます。

ラベルを使用して状態を表示します。 "code-fixed-awaiting-scan" などの問題ラベルを作成するか、プロジェクトフィールドを使用して、脆弱性が修正されたが、問題が最終的な検証と終了を待機している場合を示します。

責任を割り当てます。 問題の担当者を設定することで、どのユーザーが修復作業を担当しているかを明確にし、特にセキュリティチームと開発チームが調整を必要とする場合に役立ちます。