GitHub でのサプライ チェーンのセキュリティについて
ソフトウェア プロジェクトを開発する場合、他のソフトウェアを使用して、オープンソース ライブラリ、フレームワーク、その他のツールなど、アプリケーションをビルドして実行することがあります。 これらのリソースは、プロジェクトが適切に機能するために依存しているため、総称で "依存関係" と呼びます。 プロジェクトは、これらの数百もの依存関係に依存する可能性があり、"サプライ チェーン" 呼ばれるものを形成します。
サプライ チェーンがセキュリティ上の問題を引き起こすことがあります。 依存関係の 1 つに既知のセキュリティ上の弱点やバグがある場合、悪意のあるアクターはこの脆弱性を悪用して、悪意のあるコード ("マルウェア") を挿入したり、機密データを盗んだり、プロジェクトに各種中断を引き起こしたりすることがあります。 この種の脅威は、"サプライ チェーン攻撃" と呼びます。 サプライ チェーンに脆弱な依存関係があると、独自のプロジェクトのセキュリティが損なわれ、ユーザーも危険にさらされます。
サプライ チェーンを保護するために実行できる最も重要なことの 1 つとして、脆弱性のある依存関係に対してパッチを適用し、マルウェアを置き換えることが挙げられます。
依存関係をサプライ チェーンに直接追加するときは、マニフェスト ファイルまたはロックファイルで指定します。 依存関係は推移的に含めることもできます。つまり、特定の依存関係を指定しなくても、使用している依存関係が別の依存関係を使用している場合は、その依存関係にも依存することになります。
GitHub には、環境内の依存関係を理解し、それらの依存関係の脆弱性を把握し、パッチを適用するのに役立つさまざまな機能が用意されています。
GitHub のサプライ チェーン機能は次のとおりです。
-
**依存関係グラフ** -
**依存関係レビュー** -
**Dependabot alerts** -
**Dependabot updates**-
**Dependabot security updates** -
**Dependabot version updates**
-
依存関係グラフは、サプライ チェーンのセキュリティの中心です。 依存関係グラフによって、リポジトリまたはパッケージについて、すべてのアップストリーム依存関係とパブリック ダウンストリーム依存関係が識別されます。 リポジトリの依存関係グラフでは、その依存関係と、それらのプロパティの一部 (脆弱性情報など) が追跡され、表示されます。
GitHub の他のサプライ チェーン機能は、依存関係グラフで提供される情報を利用します。
- 依存関係レビューは、依存関係グラフを使用して依存関係の変更を特定し、ユーザーが pull request を確認するときにそれらの変更がセキュリティに及ぼす影響を理解するのに役立ちます。
- Dependabot は、依存関係グラフが提供した依存関係データと GitHub Advisory Database で公開されているアドバイザリの一覧を相互参照し、依存関係をスキャンし、潜在的な脆弱性が検出された際に Dependabot alerts を生成します。
- Dependabot security updates は、依存関係グラフと Dependabot alerts を使用して、リポジトリの既知の脆弱性を含む依存関係の更新をサポートします。
Dependabot version updates では、依存関係グラフは使用されません。代わりに依存関係のセマンティック バージョン管理が利用されます。 Dependabot version updates は、依存関係に脆弱性が含まれない場合でも、依存関係を最新状態に保つために役立ちます。
個人アカウント、コードおよびビルド プロセスの保護を含む、エンド ツー エンドのサプライ チェーンのセキュリティに関するベスト プラクティス ガイドについては、「AUTOTITLE」を参照してください。
機能の概要
依存関係グラフとは何かを確認します。
依存関係グラフを生成するために、GitHub は、マニフェストやロックファイルで宣言されているリポジトリの明示的な依存関係を調べます。 有効にすると、依存関係グラフはリポジトリ内のすべての既知のパッケージ マニフェスト ファイルを自動的に解析し、これを使用して既知の依存関係の名前とバージョンを含むグラフを作成します。
- 依存関係グラフには、"直接" 依存関係と "推移的" 依存関係の情報が含まれます。
- 依存関係グラフが自動的に更新されるのは、サポートされるマニフェストまたはロック ファイルを既定ブランチに対して変更または追加するプッシュを GitHub にコミットするとき、およびご使用の依存関係のいずれかのリポジトリに対して任意のユーザーが変更をプッシュするときです。
- GitHub Actions を使用してプロジェクトをビルドする際、依存関係グラフには、指定した情報を含めることができます。 一部のパッケージ エコシステムは、推移的な依存関係のほとんどをビルド時に取り込むため、ビルドの実行中に依存関係情報を送信すると、サプライ チェーンのより完全なビューが提供されます。
- 依存関係グラフを表示するには、GitHub でリポジトリのメイン ページを開き、[分析情報] タブに移動します。
- 少なくともリポジトリへの読み取りアクセス権がある場合は、GitHub UI または GitHub REST API を使って、リポジトリの依存関係グラフを SPDX 互換のソフトウェア部品表 (SBOM) としてエクスポートできます。 詳しくは、「リポジトリのソフトウェア部品表のエクスポート」をご覧ください。
さらに、依存関係送信 API を使用して、マニフェストやロック ファイルの分析で依存関係グラフがサポートされていないエコシステムであっても、任意のパッケージ マネージャーやエコシステムから依存関係を送信することができます。 依存関係送信 API を使ってプロジェクトに送信された依存関係には、提出にどの検出機能が使われたか、いつ送信されたかが表示されます。 依存関係送信 API について詳しくは、「依存関係サブミッション API を使用する」をご覧ください。
依存関係グラフの詳細については、「AUTOTITLE」を参照してください。
依存関係レビューとは
依存関係レビューは、レビュー担当者と共同作成者が、すべての pull request における依存関係の変更とそのセキュリティへの影響を理解するのに役立ちます。
- 依存関係レビューでは、pull request で追加、削除、または更新された依存関係がわかります。 リリース日、依存関係の評判、脆弱性情報を使用して、変更を受け入れるかどうかを判断できます。
- pull request の依存関係レビューは、 Files Changed タブの詳しい差分を表示すると確認できます。
依存関係レビューの詳細については、「AUTOTITLE」を参照してください。
Dependabot とは
Dependabot は、依存関係に含まれるセキュリティの脆弱性をユーザーに通知し、依存関係をアップグレードする pull request を自動的に開くことで、依存関係を最新の状態に保ちます。 Dependabot pull request は、Dependabot アラートがトリガーされると、次に利用可能な安全なバージョンを対象とするか、リリースが公開された場合は、最新のバージョンを対象とします。
"Dependabot" という用語は、次の機能を含みます:
- Dependabot alerts: リポジトリの [セキュリティ] タブとリポジトリの依存関係グラフに表示される通知。 アラートには、プロジェクト内で影響を受けるファイルへのリンクと、修正バージョンに関する情報が含まれています。
- Dependabot updates:
- Dependabot security updates: アラートがトリガーされたときに、更新プログラムをトリガーし、依存関係をセキュアなバージョンにアップグレードします。
- Dependabot version updates: 更新プログラムをスケジュールして、ご使用の依存関係を最新バージョンに保ちます。
Dependabot が開いた pull request は、アクションを実行するワークフローをトリガーできます。 詳細については、「Automating Dependabot with GitHub Actions」を参照してください。
既定では:
-
リポジトリに対して GitHub Actions が有効になっている場合、GitHub は GitHub Actions で Dependabot updates を実行します。
-
リポジトリに対して GitHub Actions が有効になっていない場合、GitHub は、組み込み Dependabot アプリケーションを使用して、Dependabot alerts を生成します。
詳しくは、「GitHub Actions ランナーの Dependabot について」をご覧ください。
Dependabot security updates を使うと、GitHub Actions の脆弱な依存関係を修正できます。 セキュリティ更新プログラムが有効になっている場合、ワークフローで使用されている脆弱な GitHub Actions を修正プログラムが適用された最小バージョンに更新するための pull request が、Dependabot によって自動的に生成されます。 詳細については、「AUTOTITLE」を参照してください。
Dependabot アラートとは
Dependabot alerts は、依存関係グラフと既知の脆弱性に関するアドバイザりを含む GitHub Advisory Database に基づいて新しく検出された脆弱性による影響を受けるリポジトリを強調表示します。
- Dependabot は、次の場合に、スキャンを実行して安全ではない依存関係を検出し、Dependabot alertsを送信します。
- GitHub Advisory Database に新しいアドバイザリが追加されたとき。
- リポジトリの依存関係グラフが変更されたとき。
- Dependabot alerts は、リポジトリの [セキュリティ] タブおよびリポジトリの依存関係グラフに表示されます。 アラートには、プロジェクト内で影響を受けるファイルへのリンクと、修正バージョンに関する情報が含まれています。
詳しくは、「Dependabot アラートについて」をご覧ください。
Dependabot 更新プログラムとは
2 種類の Dependabot updatesがあります。Dependabot "セキュリティ" 更新プログラムと "バージョン" 更新プログラムです。 Dependabot は、どちらのケースでも依存関係を更新するために自動 pull request を生成しますが、いくつかの違いがあります。
Dependabot security updates:
- Dependabot アラートによってトリガーされます。
- 既知の脆弱性を解決する最小バージョンに依存関係を更新します。
- 依存関係グラフがサポートするエコシステムでサポートされます。
- 構成ファイルは必要ありませんが、既定の動作をオーバーライドするために使用できます
Dependabot version updates:
- 構成ファイルが必要です
- 構成したスケジュールに従って実行します。
- 構成と一致する最新バージョンに依存関係を更新します。
- さまざまな一連のエコシステムでサポートされます。
Dependabot updates の詳細については、「AUTOTITLE」と「AUTOTITLE」を参照してください。