リポジトリのプライベート脆弱性レポートの構成

プライベート脆弱性レポートを有効にすると、セキュリティ研究者は、リポジトリ内の脆弱性を直接開示するための安全で構造化された方法が提供されます。 有効にすると、研究者は公開や非公式のチャネルに頼ることなく、レポートを送信できます。 プライベート脆弱性レポートの背景と、それが調整された開示にどのように適合するかについては、 AUTOTITLE を参照してください。

この記事の手順は、リポジトリ レベルでの有効化についてのものです。 Organization レベルでの機能の有効化については、「セキュリティ脆弱性の調整された開示について」をご覧ください。

リポジトリに関するプライベート脆弱性レポートの有効化または無効化

1. GitHub で、リポジトリのメイン ページに移動します。

2. リポジトリ名の下にある [Settings] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウン メニューを選び、 [設定] をクリックします。

   

3. サイドバーの [Security] セクションで、[ Advanced Security] をクリックします。

4. [Advanced Security] で、[Private vulnerability reporting] の右側にある [Enable] または [Disable] をクリックして、その機能をそれぞれ有効または無効にします。

          ![[コードのセキュリティと分析] ページのスクリーンショット。[プライベート脆弱性レポート] の設定が示されています。 [Enable] ボタンがオレンジ色の枠線で囲まれています。](/assets/images/help/security/private-vulnerability-reporting-enable-or-disable-repo.png)
   

プライベート脆弱性レポートが有効になっている場合、セキュリティ研究者にはリポジトリの [アドバイザリ] ページに [ 脆弱性 の報告] ボタンが表示され、プライベート レポートを送信できます。

また、セキュリティ リサーチャーは、REST API を使って、セキュリティの脆弱性を非公開で報告できます。 「リポジトリ セキュリティ アドバイザリ用の REST API エンドポイント」を参照してください。

プライベート脆弱性レポートの通知を構成する

新しい脆弱性がリポジトリで非公開で報告されると、GitHub は、次の場合にリポジトリの保守担当者とセキュリティ マネージャーに通知します。

• リポジトリでのすべてのアクティビティを監視している。
• リポジトリで通知が有効にされている。

通知は、ユーザーの通知基本設定に依存します。 次の場合に、電子メール通知を受け取ります。

• リポジトリを監視している。
• [すべてのアクティビティ] で通知を有効にしている。
• 通知設定の [サブスクリプション] の [ウォッチ] で、メールで通知を受け取ることを選んでいる。

1. GitHub で、リポジトリのメイン ページに移動します。

2. リポジトリの監視を始めるには、 [Watch] を選びます。

   

3. ドロップダウン メニューで、 [すべてのアクティビティ] を選びます。

4. 個人用アカウントの通知設定に移動します。 https://github.com/settings/notifications で利用できます。

5. 通知設定のページの [サブスクリプション] の [ウォッチ] で、 [通知する] ドロップダウンを選びます。

6. 通知方法として [Email] を選び、 [保存] を選びます。

   

通知のユーザー設定について詳しくは、「リポジトリのセキュリティと分析設定を管理する」と「個々のリポジトリの Watch 設定を行う」をご覧ください。