コードのセキュリティ リスクを評価する

コード内のセキュリティ リスクの調査

[セキュリティ] タブのさまざまなビューを使用して、コード内のセキュリティ リスクを調べることができます。

•         **概要:** セキュリティ アラートの**検出**、**修復**、**防止**の傾向を調べるのに使用します。
  

•         **リスク:** すべてのアラートの種類について、リポジトリの現在の状態を調べるために使います。
  

•         **評価:** 特にシークレットの漏洩について、リポジトリの現在の状態を調べるために使います
  

•         **アラート ビュー:** code scanning、Dependabot、または secret scanning アラートを詳しく調べるのに使用します。
  

これらのビューには、以下を行うためのデータとフィルターが用意されています。

• すべてのリポジトリに格納されているコードのセキュリティ リスクの状況を評価します。

• 対処する最も影響の大きい脆弱性を特定

• 潜在的な脆弱性の修復の進行状況を監視します。

• シークレットの漏洩と露出によって organization がどのような影響を受けるかを理解します。

• 詳細な分析とレポートのために、現在選択されているデータをエクスポートします。

          **[Overview]** については、「[AUTOTITLE](/code-security/security-overview/viewing-security-insights)」を参照してください。
  

Organization レベルのセキュリティ リスクをコードで表示する

1. GitHub で、organization のメイン ページに移動します。1. Organization 名の下にある [ Security] をクリックします。

   
   1. [Security risk] ビューを表示するには、サイドバーの [Risk] をクリックします。1. ページの概要のオプションを使って、評価するリポジトリを表示するように結果をフィルター処理します。 ページに表示されるリポジトリとメトリックの一覧は、現在の選択に合わせて自動更新されます。 フィルター処理について詳しくは、「セキュリティの概要でアラートをフィルター処理する」をご覧ください。
   • [Teams] ドロップダウンを使用し、1 チームまたは複数のチームが所有するリポジトリの情報のみを表示します。
   • 何らかの機能に対してヘッダーの [<数字> 影響を受ける] または [<数字> 影響を受けない] をクリックすると、その種類の開いているアラートがあるリポジトリ、または開いているアラートがないリポジトリのみが表示されます。
   • ヘッダーの [アラートを開く] の説明をクリックすると、その種類とカテゴリのアラートがあるリポジトリのみが表示されます。 たとえば、 [1 クリティカル] の場合、Dependabot のクリティカル アラートがあるリポジトリが表示されます。
   • リポジトリの一覧の上部にある [アーカイブされた番号] をクリックして、アーカイブされたリポジトリのみを表示します。
   • 検索ボックス内をクリックすると、表示されているリポジトリにさらにフィルターを追加できます。
   

   メモ

   The set of unaffected repositories includes all repositories without open alerts and also any repositories where the security feature is not enabled.

2. 必要に応じて、左側のサイドバーを使って、特定のセキュリティ機能のアラートを詳しく調べます。 各ページでは、その機能固有のフィルターを使用して、検索を調整できます。

3. 必要に応じて、 [Export CSV] ボタンを使って、セキュリティ調査や詳細なデータ分析のために、現在のページに表示されているデータを CSV ファイルとしてダウンロードします。 詳しくは、「セキュリティの概要からデータをエクスポート」をご覧ください。

コードの Enterprise レベルのセキュリティ リスクを表示する

エンタープライズ内のすべての組織のセキュリティ アラートのデータを表示できます。

1. GitHub Enterprise Cloud に移動します。

2. GitHub の右上隅にあるプロフィール画像をクリックします。

3. 環境に応じて、[ エンタープライズ] をクリックするか、[ エンタープライズ ] をクリックして、表示するエンタープライズをクリックします。 1. ページの上部にある [Security] をクリックします。

4. [Security risk] ビューを表示するには、サイドバーの [Risk] をクリックします。

5. ページの概要のオプションを使って、評価するリポジトリを表示するように結果をフィルター処理します。 ページに表示されるリポジトリとメトリックの一覧は、現在の選択に合わせて自動更新されます。 フィルター処理について詳しくは、「セキュリティの概要でアラートをフィルター処理する」をご覧ください。

   • [Teams] ドロップダウンを使用し、1 チームまたは複数のチームが所有するリポジトリの情報のみを表示します。
   • 何らかの機能に対してヘッダーの [<数字> 影響を受ける] または [<数字> 影響を受けない] をクリックすると、その種類の開いているアラートがあるリポジトリ、または開いているアラートがないリポジトリのみが表示されます。
   • ヘッダーの [アラートを開く] の説明をクリックすると、その種類とカテゴリのアラートがあるリポジトリのみが表示されます。 たとえば、 [1 クリティカル] の場合、Dependabot のクリティカル アラートがあるリポジトリが表示されます。
   • リポジトリの一覧の上部にある [アーカイブされた番号] をクリックして、アーカイブされたリポジトリのみを表示します。
   • 検索ボックス内をクリックすると、表示されているリポジトリにさらにフィルターを追加できます。
   

   メモ

   The set of unaffected repositories includes all repositories without open alerts and also any repositories where the security feature is not enabled.

6. 必要に応じて、左側のサイドバーを使って、特定のセキュリティ機能のアラートを詳しく調べます。 各ページでは、その機能固有のフィルターを使用して、検索を調整できます。

7. 必要に応じて、 [Export CSV] ボタンを使って、セキュリティ調査や詳細なデータ分析のために、現在のページに表示されているデータを CSV ファイルとしてダウンロードします。 詳しくは、「セキュリティの概要からデータをエクスポート」をご覧ください。

次のステップ

セキュリティ リスクを評価したら、開発者と協力してアラートを修復するセキュリティ キャンペーンを作成する準備は完了です。 セキュリティ アラートの大規模な修正については、「セキュリティ キャンペーンの作成と管理」と「大規模なアラートを修正するためのセキュリティ キャンペーンの実行」をご覧ください。