# GitHub Advanced Security について GitHubにより、 ライセンスの GitHub Code Security購入やGitHub Secret Protection ## ``` GitHub Advanced Security 製品について GitHub には、コードの品質の向上と維持に役立つ多くの機能があります。 これらの一部は、依存関係グラフや Dependabot alertsなど、すべてのプランに含まれています。 ``` その他のセキュリティ機能では、 GitHubの Advanced Security 製品のいずれかを購入する必要があります。 * **GitHub Secret Protection**: secret scanning やプッシュ保護など、シークレットの漏洩の検出と防止に役立つ機能が含まれます。 * **GitHub Code Security**: code scanning、プレミアム Dependabot 機能、依存関係レビューなど、脆弱性の検出と修正に役立つ機能が含まれます。 ``` これらの機能の一部 ( code scanning や secret scanningなど) は、既定でパブリック リポジトリに対して有効になっています。 プライベートリポジトリまたは内部リポジトリで機能を実行するには、関連する GitHub Advanced Security 製品を購入する必要があります。 GitHub TeamまたはGitHub Enterpriseを購入するには、GitHub Code SecurityまたはGitHub Secret Protectionプランに参加している必要があります。 詳細については、「[AUTOTITLE](/get-started/learning-about-github/githubs-plans)」および「[AUTOTITLE](/billing/managing-billing-for-your-products/managing-billing-for-github-advanced-security/about-billing-for-github-advanced-security)」を参照してください。 ``` ## GitHub Code Security ``` GitHub Code Securityでは、次の機能を利用できます。 ``` *** ``` Code scanning **: CodeQL またはサードパーティのツールを使用して、コード内の潜在的なセキュリティの脆弱性とコーディング エラーを検索します。 ``` *** ``` CodeQL CLI **: CodeQLプロセスをソフトウェア プロジェクトでローカルに実行するか、code scanningにアップロードするためのGitHub結果を生成します。 ``` *** ``` Copilot の自動修正 **: code scanning アラートに対して自動的に生成された修正プログラムを取得します。 ``` * **セキュリティ キャンペーン**: 大規模なセキュリティ負債を削減します。 *** ``` カスタム自動トリアージ ルールのDependabot**: Dependabot alertsを大規模に管理するために、無視するアラート、再通知を休止するアラート、またはセキュリティ更新をトリガーするアラートを自動化します。 ``` * **依存関係の確認:** プル要求をマージする前に、依存関係に対する変更の影響をすべて示し、脆弱なバージョンの詳細を表示します。 * **セキュリティの概要**: organization 全体のリスク分散を把握します。 次の表は、パブリック リポジトリとプライベート リポジトリの GitHub Code Security 機能の可用性をまとめたものです。
\| | パブリック リポジトリ
なし GitHub Code Security | プライベート リポジトリ
なし GitHub Code Security | パブリック リポジトリまたはプライベート リポジトリ
GitHub Code Securityと | \| --- | --- | --- | --- | \| Code scanning | | | | \| CodeQL CLI | | | | || \| Copilot の自動修正 | | | | || || \| セキュリティ キャンペーン | | | | || \| カスタム自動トリアージ ルール | | | | \| 依存関係の確認 | | | | \| セキュリティの概要 | | | |
機能について詳しくは、「[GitHubセキュリティ機能](/ja/code-security/getting-started/github-security-features)」を参照してください。 ## GitHub Secret Protection ``` GitHub Secret Protectionでは、次の機能を利用できます。 ``` * **Secret scanning**: リポジトリにチェックインされているシークレット (たとえばキーやトークンなど) を検出し、アラートを受信します。 * **プッシュ保護**: シークレットを含むコミットをブロックすることで、シークレットリークが発生する前に防止します。 * **Copilot シークレットスキャン**: AI を活用して、リポジトリにチェックインされたパスワードなどの非構造化資格情報を検出します。 * **カスタム パターン**: organization 固有のシークレットの漏洩を検出および防止します。 * **プッシュ保護の委任されたバイパス**と**委任されたアラートの無視**: Enterprise 内で機密性の高いアクションを実行できるユーザーをより適切に制御するための承認プロセスを実装し、ガバナンスを大規模にサポートします。 * **セキュリティ キャンペーン**: 公開されたシークレットを大規模に修復するには、キャンペーンを作成し、それらを修正するために共同作業を行います。 * **セキュリティの概要**: organization 全体のリスク分散を理解します。 次の表は、パブリック リポジトリとプライベート リポジトリの GitHub Secret Protection 機能の可用性をまとめたものです。
\| | パブリック リポジトリ
なし GitHub Secret Protection | プライベート リポジトリ
なし GitHub Secret Protection | パブリック リポジトリまたはプライベート リポジトリ
GitHub Secret Protectionと | \| --- | --- | --- | --- | \| シークレット スキャン | | | | \| プッシュプロテクション | | | | || \| Copilot シークレットスキャン | | | | || \| カスタムパターン | | | | \| プッシュ保護用の委任バイパス | | | | || \| セキュリティ キャンペーン | | | | || \| セキュリティの概要 | | | |
個々の機能の詳細については、「[GitHubセキュリティ機能](/ja/code-security/getting-started/github-security-features)」を参照してください。 ## 無料のセキュリティ リスク評価を実行する ``` セキュリティ リスク評価の概要 GitHub TeamおよびGitHub Enterpriseの組織は、無料のセキュリティ リスク評価を実行して、セキュリティの脆弱性への露出を理解できます。 ``` * **シークレット リーク**: 組織で漏洩したシークレットをスキャンし、 GitHub Secret Protectionによって防止された可能性がある数を確認します。 「[GitHubを使用したシークレット セキュリティについて](/ja/code-security/concepts/secret-security/about-secret-security-with-github#secret-risk-assessment)」を参照してください。 * **コードの脆弱性**: 最もアクティブなリポジトリのうち最大 20 個をスキャンし、Copilot の自動修正を有効にした場合にGitHub Code Securityで自動的に修正できる脆弱性の数を確認します。 「[コード セキュリティ リスク評価](/ja/code-security/concepts/code-scanning/code-security-risk-assessment)」を参照してください。 ## 企業での GitHub Code Security と GitHub Secret Protection ``` GitHub Code SecurityとGitHub Secret Protectionの展開を大まかに計画し、推奨されるロールアウト フェーズを確認するために知っておくべきことについては、[AUTOTITLE を](/code-security/adopting-github-advanced-security-at-scale)参照してください。 ``` ## 機能の有効化 security configuration (組織内のリポジトリに適用できるセキュリティ有効化設定のコレクション) を使用して、大規模なセキュリティ機能をすばやく有効にすることができます。 Advanced Security を使用して、組織レベルで global settings 機能をカスタマイズできます。 「[大規模なセキュリティ機能の有効化について](/ja/code-security/securing-your-organization/introduction-to-securing-your-organization-at-scale/about-enabling-security-features-at-scale)」をご覧ください。 ``` GitHub TeamまたはGitHub Enterpriseプランの場合は、チームまたはエンタープライズ全体のライセンス使用がライセンス ページに表示されます。 [「AUTOTITLE」を](/billing/managing-billing-for-your-products/managing-billing-for-github-advanced-security/viewing-your-github-advanced-security-usage)参照してください。 ``` ## 管理 GitHub Advanced Security エンタープライズ所有者は、すべてのリポジトリでGitHub Advanced Securityを無効にしたり、将来の再有効化を防いだりするなど、企業のGitHub Advanced Securityライセンスとアクセスを管理できます。 「[GitHub Advanced Security のボリューム ライセンスの管理](/ja/billing/how-tos/products/manage-ghas-licenses#disabling-github-advanced-security-across-your-enterprise)」を参照してください。 ``` GitHub Advanced Security ライセンスの管理については、[AUTOTITLE](/code-security/how-tos/secure-at-scale/configure-organization-security/manage-usage-and-access/managing-your-github-advanced-security-license-usage) を参照してください。 ``` ## ``` GitHub Advanced Security認定について GitHub Advanced SecurityでGitHub Certifications証明書を取得することで、知識を強調できます。 この認定は、脆弱性の識別、ワークフローのセキュリティ、堅牢なセキュリティ実装に関する専門知識の証明となります。 「[AUTOTITLE](/get-started/showcase-your-expertise-with-github-certifications/about-github-certifications)」を参照してください。 ``` ## Azure ReposGitHub Advanced Securityについて Azure Reposでを使用したい場合は、リソースサイトの & Azure DevOpsを参照してください。 ドキュメントについては、Microsoft Learn の [Configure GitHub Advanced Security for Azure DevOps](https://learn.microsoft.com/en-us/azure/devops/repos/security/configure-github-advanced-security-features) を参照してください。 ## 参考資料 * [GitHubセキュリティ機能](/ja/code-security/getting-started/github-security-features) * [ GitHub パブリック ロードマップ](https://github.com/github/roadmap)