Você pode exibir métricas para Dependabot alerts para acompanhar e priorizar vulnerabilidades em toda a sua organização. Para obter mais informações sobre as métricas disponíveis e como usá-las, consulte Sobre as métricas para alertas do Dependabot.
Este artigo explica como acessar e exibir essas métricas para sua organização.
Exibindo métricas do Dependabot de uma organização
-
Em GitHub, acesse a página principal da organização.
-
No nome da sua organização, clique em Security.
-
Na barra lateral, em "Métricas", clique no painel do Dependabot.
-
Opcionalmente, use os filtros à sua disposição ou crie seus próprios filtros. Confira Filtros de exibição de painel do Dependabot.
-
Opcionalmente, clique em um número no eixo x do gráfico para filtrar a lista de alertas pelos critérios relevantes (por exemplo,
has:patch severity:critical,high epss_percentage:>=0.01). -
Ou clique em um repositório individual para ver os Dependabot alerts associados.
Configurando categorias de funil
A ordem de funil padrão é has:patch, severity:critical,high, epss_percentage>=0.01. Ao personalizar a ordem do funil, você e suas equipes podem se concentrar nas vulnerabilidades mais importantes para a organização, os ambientes ou as obrigações regulatórias, tornando os esforços de correção mais eficazes e alinhados às suas necessidades específicas.
-
Em GitHub, acesse a página principal da organização.
-
No nome da sua organização, clique em Security.
-
Na barra lateral, em "Métricas", clique no painel do Dependabot.
-
No canto superior direito do gráfico "Priorização de alertas", clique em .
-
Na caixa de diálogo "Configurar a ordem do funil", mova os critérios conforme desejado.
-
Assim que terminar, clique em Mover para salvar as alterações.
Dica
Você pode redefinir a ordem de funil de volta para as configurações padrão clicando em Redefinir para padrão à direita do gráfico.
Usando métricas efetivamente
Use Dependabot métricas para:
-
**Priorizar a correção**: concentre-se em alertas críticos e de alta gravidade que são facilmente exploráveis. Os desenvolvedores podem usar filtros de severidade e disponibilidade de patch para identificar vulnerabilidades que podem corrigir imediatamente, reduzindo o ruído e concentrando a atenção em problemas acionáveis. -
**Monitorar o progresso**: acompanhe a rapidez com que sua organização resolve vulnerabilidades de segurança e mede a eficácia dos esforços de gerenciamento de vulnerabilidades. -
**Tome decisões controladas por dados**: aloque recursos com base nos padrões reais de risco e de uso. A divisão no nível do repositório ajuda você a entender quais projetos estão mais em risco e onde concentrar os esforços de correção. -
**Identificar tendências**: entenda se sua postura de segurança está melhorando ao longo do tempo e garanta a conformidade com linhas do tempo organizacionais ou regulatórias. -
**Entenda os perfis de risco**: os desenvolvedores podem usar essas métricas para entender o perfil de risco de suas dependências, permitindo a priorização informada do trabalho.