GitHub Advanced Security について

          GitHub Advanced Security
          製品について

          GitHub には、コードの品質の向上と維持に役立つ多くの機能があります。 これらの一部は、依存関係グラフや Dependabot alertsなど、すべてのプランに含まれています。

その他のセキュリティ機能では、 GitHubの Advanced Security 製品のいずれかを購入する必要があります。

GitHub Secret Protection: secret scanning やプッシュ保護など、シークレットの漏洩の検出と防止に役立つ機能が含まれます。

GitHub Code Security: code scanning、プレミアム Dependabot 機能、依存関係レビューなど、脆弱性の検出と修正に役立つ機能が含まれます。

        これらの機能の一部 ( code scanning や secret scanningなど) は、既定でパブリック リポジトリに対して有効になっています。 プライベートリポジトリまたは内部リポジトリで機能を実行するには、関連する GitHub Advanced Security 製品を購入する必要があります。

        GitHub TeamまたはGitHub Enterpriseを購入するには、GitHub Code SecurityまたはGitHub Secret Protectionプランに参加している必要があります。 詳細については、「[AUTOTITLE](/get-started/learning-about-github/githubs-plans)」および「[AUTOTITLE](/billing/managing-billing-for-your-products/managing-billing-for-github-advanced-security/about-billing-for-github-advanced-security)」を参照してください。

GitHub Code Security

          GitHub Code Securityでは、次の機能を利用できます。

* ** Code scanning **: CodeQL またはサードパーティのツールを使用して、コード内の潜在的なセキュリティの脆弱性とコーディングエラーを検索します。

        **
        CodeQL CLI
        **: CodeQLプロセスをソフトウェア プロジェクトでローカルに実行するか、code scanningにアップロードするためのGitHub結果を生成します。

        **
        Copilot自動修正
        **: code scanning アラートに対して自動的に生成された修正プログラムを取得します。

        **セキュリティ キャンペーン**: 大規模なセキュリティ負債を削減します。

        **
        カスタム自動トリアージ ルールのDependabot**: Dependabot alertsを大規模に管理するために、無視するアラート、再通知を休止するアラート、またはセキュリティ更新をトリガーするアラートを自動化します。

        **依存関係の確認:** プル要求をマージする前に、依存関係に対する変更の影響をすべて示し、脆弱なバージョンの詳細を表示します。

        **セキュリティの概要**: organization 全体のリスク分散を把握します。

次の表は、パブリックリポジトリとプライベートリポジトリの GitHub Code Security 機能の可用性をまとめたものです。

| | パブリックリポジトリ
なし GitHub Code Security | プライベートリポジトリ
なし GitHub Code Security | パブリックリポジトリまたはプライベートリポジトリ
GitHub Code Securityと | | --- | --- | --- | --- | | Code scanning | | | | | CodeQL CLI | | | | || | Copilot自動修正 | | | | || || | セキュリティキャンペーン | | | | || | カスタム自動トリアージルール | | | | | 依存関係の確認 | | | | | セキュリティの概要 | | | |

機能について詳しくは、「GitHubセキュリティ機能」を参照してください。

GitHub Secret Protection

          GitHub Secret Protectionでは、次の機能を利用できます。

* Secret scanning: リポジトリにチェックインされているシークレット (たとえばキーやトークンなど) を検出し、アラートを受信します。 * プッシュ保護: シークレットを含むコミットをブロックすることで、シークレットリークが発生する前に防止します。 * Copilot シークレットスキャン: AI を活用して、リポジトリにチェックインされたパスワードなどの非構造化資格情報を検出します。 * カスタムパターン: organization 固有のシークレットの漏洩を検出および防止します。 * プッシュ保護の委任されたバイパスと委任されたアラートの無視: Enterprise 内で機密性の高いアクションを実行できるユーザーをより適切に制御するための承認プロセスを実装し、ガバナンスを大規模にサポートします。 * セキュリティキャンペーン: 公開されたシークレットを大規模に修復するには、キャンペーンを作成し、それらを修正するために共同作業を行います。 * セキュリティの概要: organization 全体のリスク分散を理解します。

次の表は、パブリックリポジトリとプライベートリポジトリの GitHub Secret Protection 機能の可用性をまとめたものです。

| | パブリックリポジトリ
なし GitHub Secret Protection | プライベートリポジトリ
なし GitHub Secret Protection | パブリックリポジトリまたはプライベートリポジトリ
GitHub Secret Protectionと | | --- | --- | --- | --- | | シークレットスキャン | | | | | プッシュプロテクション | | | | || | Copilot シークレットスキャン | | | | || | カスタムパターン | | | | | プッシュ保護用の委任バイパス | | | | || | セキュリティキャンペーン | | | | || | セキュリティの概要 | | | |

個々の機能の詳細については、「GitHubセキュリティ機能」を参照してください。

無料のセキュリティリスク評価を実行する

          <a href="https://github.com/get_started?with=risk-assessment&ref_product=code-scanning&ref_type=engagement&ref_style=button" target="_blank" class="btn btn-primary mt-3 mr-3 no-underline">
          <span>セキュリティ リスク評価の概要</span><svg version="1.1" width="16" height="16" viewBox="0 0 16 16" class="octicon octicon-link-external" aria-label="link external icon" role="img"><path d="M3.75 2h3.5a.75.75 0 0 1 0 1.5h-3.5a.25.25 0 0 0-.25.25v8.5c0 .138.112.25.25.25h8.5a.25.25 0 0 0 .25-.25v-3.5a.75.75 0 0 1 1.5 0v3.5A1.75 1.75 0 0 1 12.25 14h-8.5A1.75 1.75 0 0 1 2 12.25v-8.5C2 2.784 2.784 2 3.75 2Zm6.854-1h4.146a.25.25 0 0 1 .25.25v4.146a.25.25 0 0 1-.427.177L13.03 4.03 9.28 7.78a.751.751 0 0 1-1.042-.018.751.751 0 0 1-.018-1.042l3.75-3.75-1.543-1.543A.25.25 0 0 1 10.604 1Z"></path></svg></a>

          GitHub TeamおよびGitHub Enterpriseの組織は、無料のセキュリティ リスク評価を実行して、セキュリティの脆弱性への露出を理解できます。

* シークレットリーク: 組織で漏洩したシークレットをスキャンし、 GitHub Secret Protectionによって防止された可能性がある数を確認します。「GitHubを使用したシークレットセキュリティについて」を参照してください。

        **コードの脆弱性**: 最もアクティブなリポジトリのうち最大 20 個をスキャンし、Copilot自動修正を有効にした場合にGitHub Code Securityで自動的に修正できる脆弱性の数を確認します。 「[AUTOTITLE](/code-security/concepts/code-scanning/code-security-risk-assessment)」を参照してください。

企業での GitHub Code Security と GitHub Secret Protection

          GitHub Code SecurityとGitHub Secret Protectionの展開を大まかに計画し、推奨されるロールアウト フェーズを確認するために知っておくべきことについては、[AUTOTITLE を](/code-security/adopting-github-advanced-security-at-scale)参照してください。

機能の有効化

security configuration (組織内のリポジトリに適用できるセキュリティ有効化設定のコレクション) を使用して、大規模なセキュリティ機能をすばやく有効にすることができます。 global settings を使用して、組織レベルで Advanced Security 機能をカスタマイズできます。「大規模なセキュリティ機能の有効化について」をご覧ください。

          GitHub TeamまたはGitHub Enterpriseプランの場合は、チームまたはエンタープライズ全体のライセンス使用がライセンス ページに表示されます。 
          
          [「AUTOTITLE」を](/billing/managing-billing-for-your-products/managing-billing-for-github-advanced-security/viewing-your-github-advanced-security-usage)参照してください。

管理 GitHub Advanced Security

エンタープライズ所有者は、すべてのリポジトリでGitHub Advanced Securityを無効にしたり、将来の再有効化を防いだりするなど、企業のGitHub Advanced Securityライセンスとアクセスを管理できます。「GitHub Advanced Security のボリュームライセンスの管理」を参照してください。

          GitHub Advanced Security ライセンスの管理については、[AUTOTITLE](/code-security/how-tos/secure-at-scale/configure-organization-security/manage-usage-and-access/managing-your-github-advanced-security-license-usage) を参照してください。

          GitHub Advanced Security認定について

          GitHub Advanced SecurityでGitHub Certifications証明書を取得することで、知識を強調できます。 この認定は、脆弱性の識別、ワークフローのセキュリティ、堅牢なセキュリティ実装に関する専門知識の証明となります。 「[AUTOTITLE](/get-started/showcase-your-expertise-with-github-certifications/about-github-certifications)」を参照してください。

Azure ReposGitHub Advanced Securityについて

Azure Reposでを使用したい場合は、リソースサイトの & Azure DevOpsを参照してください。ドキュメントについては、Microsoft Learn の Configure GitHub Advanced Security for Azure DevOps を参照してください。

参考資料

        [AUTOTITLE](/code-security/getting-started/github-security-features)

        [
        GitHub パブリック ロードマップ](https://github.com/github/roadmap)

この機能を使用できるユーザーについて

この記事で