Organization のシークレットリスク評価レポートの表示

[Security] タブから、organization の secret risk assessment レポートを生成して表示できます。

この機能を使用できるユーザーについて

Organization の所有者とセキュリティマネージャー

Secret risk assessment は、GitHub Team と GitHub Enterprise の organization で、無料で使用できます。

この記事の内容

GitHub は、漏洩したシークレットへの organization の露出を評価するために organization の所有者とセキュリティマネージャーが生成できるシークレットリスク評価レポートを提供します。 secret risk assessmentは、organization 内のコードのオンデマンドのポイントインタイムスキャンです。

Organization 内で漏洩したシークレットを表示します
Organization 外に漏洩したシークレットの種類を表示します
修復のための実用的な分析情報を提供しますレポートの詳細については、「シークレットリスク評価について」を参照してください。

Organization の secret risk assessment レポートを生成し、確認して、結果を CSV にエクスポートできます。

最初の secret risk assessment の生成

GitHub で、organization のメインページに移動します。
Organization 名の下にある [ Security] をクリックします。
サイドバーの [Security] で、[ Assessments] をクリックします。 1. secret risk assessmentを生成するには、[Scan your organization] をクリックします。

Organization の所有者がメール通知をオプトインした場合、GitHub から、レポートを表示する準備ができたことを通知するメールが送られてきます。

Organization の secret risk assessment レポートは正常に生成されましたか?

はいいいえ

secret risk assessment の再実行

ヒント

レポートは 90 日に 1 回のみ生成できます。継続的なシークレットの監視と防止のために、GitHub Secret Protection を実装することをお勧めします。「GitHub Secret Protection の選択」をご覧ください。

GitHub で、organization のメインページに移動します。
Organization 名の下にある [ Security] をクリックします。
サイドバーの [Security] で、[ Assessments] をクリックします。
既存のレポートの右上にあるをクリックします。
[Rerun scan] を選びます。

Organization の所有者がメール通知をオプトインした場合、GitHub から、レポートを表示する準備ができたことを通知するメールが送られてきます。

secret risk assessment の表示

GitHub で、organization のメインページに移動します。
Organization 名の下にある [ Security] をクリックします。
サイドバーの [Security] で、[ Assessments] をクリックします。このページでは、最新のレポートを見ることができます。

CSV への secret risk assessment のエクスポート

GitHub で、organization のメインページに移動します。
Organization 名の下にある [ Security] をクリックします。
サイドバーの [Security] で、[ Assessments] をクリックします。
レポートの右上にあるをクリックします。
[Download CSV] を選びます。

secret risk assessment の CSV ファイルには、次の情報が含まれています。

CSV 列	Name	説明
A	`Organization Name`	シークレットが検出された organization の名前
B	`Name`	シークレットの種類のトークン名
C	`Slug`	トークンの正規化された文字列。これは、サポートされているシークレットのテーブル内の `Token` に対応します。「サポートされているシークレットスキャンパターン」を参照してください。
D	`Push Protected`	プッシュ保護が有効になっていた場合、それによってシークレットが検出およびブロックされたかどうかを示す `boolean`
E	`Non-Provider Pattern`	プロバイダー以外のパターンで secret scanning が有効になっていた場合、シークレットがプロバイダー以外のパターンと一致してアラートを生成したかどうかを示す `boolean`
F	`Secret Count`	そのトークンの種類で検出されたアクティブおよび非アクティブなシークレットの集計数
G	`Repository Count`	そのシークレットの種類が見つかった個別のリポジトリ (パブリック、プライベート、内部、アーカイブの各リポジトリを含む) の集計数

次のステップ

Organization の secret risk assessment を生成したので、結果を解釈する方法を学んでください。「シークレットリスク評価結果の解釈」をご覧ください。

Organization のシークレット リスク評価レポートの表示