# 運用コンテキストを使用した Dependabot とコードスキャンアラートの優先順位付け外部システムのメタデータと Dynatrace、JFrog Artifactory、Dependabot、独自の CI/CD ワークフローなどの統合を使用して、運用環境にデプロイされた成果物のcode scanningとMicrosoft Defender for Cloudアラートを対象とすることで、実際のリスクに焦点を当てます。 Application Security (AppSec) マネージャーは、多くの場合、大量のアラートに圧倒されます。その多くは、影響を受けるコードが運用環境に移行しないため、実際のリスクを表さない可能性があります。運用コンテキストをアラートに関連付けることで、運用環境で実際に承認されている成果物に影響を与える脆弱性をフィルター処理し、優先順位を付けることができます。これにより、チームは最も重要な脆弱性の修復作業に集中し、ノイズを減らし、セキュリティ態勢を向上させることができます。 ## 1. 成果物を運用コンテキストに関連付ける GitHub's linked artifacts page を使用すると、REST API またはパートナー統合を使用して、会社のビルドの運用コンテキストを提供できます。その後、Teams はこのコンテキストを使用して、 Dependabot と code scanning アラートに優先順位を付けることができます。詳しくは、「[リンクされた成果物について](/ja/code-security/concepts/supply-chain-security/linked-artifacts)」をご覧ください。運用コンテキストを提供するには、次のようにシステムを構成する必要があります。 * 成果物が運用環境で承認されたパッケージリポジトリに昇格されるたびに、\*\*\*\* 内のlinked artifacts pageを更新します。 * 成果物が運用環境にデプロイされたときにデプロイ **レコード** を更新します。 GitHub は、このメタデータを処理し、それを使用して、ストレージレコードからの `artifact-registry-url` や `artifact-registry` 、デプロイレコードからの `has:deployment` と `runtime-risk` などのアラートフィルターに電力を供給します。デプロイレコードからの実行時リスクは、個々の code scanning および Dependabot アラートページのプロパティとしても表示されます。レコードの更新の詳細については、 [ストレージとデプロイのデータをアップロードしてlinked artifacts page](/ja/code-security/how-tos/secure-your-supply-chain/establish-provenance-and-integrity/upload-linked-artifacts) を参照してください。 ## 2. 運用コンテキストフィルターを使用する運用コンテキストフィルターは、\[ ** Security and quality** ] タブで使用できます。 * **Dependabot ビュー**: [Dependabot アラートの表示と更新](/ja/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts#viewing-and-prioritizing-dependabot-alerts) を参照してください。 * **Code scanning ビュー**: [リポジトリのコードスキャンのアラートの評価](/ja/code-security/how-tos/manage-security-alerts/manage-code-scanning-alerts/assess-alerts) を参照してください。 * **セキュリティキャンペーンビュー**: [セキュリティキャンペーンの作成と管理](/ja/code-security/how-tos/manage-security-alerts/remediate-alerts-at-scale/creating-managing-security-campaigns) を参照してください。アラートリストが表示されたら、組織ビューの `artifact-registry-url` または `artifact-registry` フィルターを使用して、運用環境に存在するアーティファクトに影響を与える脆弱性に焦点を当てます。 * `my-registry.example.com`でホストされている独自のアーティファクトリポジトリの場合は、次を使用します。 ```text copy artifact-registry-url:my-registry.example.com ``` * JFrog Artifactory を使用する場合は、`artifact-registry`でそれ以上セットアップを行っていないGitHubを使用できます。 ```text copy artifact-registry:jfrog-artifactory ``` また、 `has:deployment` フィルターと `runtime-risk` フィルターを使用して、デプロイ時や実行時の脆弱性のリスクでデプロイメタデータに表示される脆弱性に焦点を当てることもできます。 MDCを接続している場合、このデータは自動的に入力されます。例えば次が挙げられます。 * インターネットに公開されているデプロイされたコードのアラートに焦点を当てるには、次のコマンドを使用します。 ```text copy has:deployment AND runtime-risk:internet-exposed ``` これらの運用コンテキストフィルターを、EPSS などの他のフィルターと組み合わせることもできます。 ```text copy epss > 0.5 AND artifact-registry-url:my-registry.example.com ``` ## 3. 運用コードでアラートを修復するこれで、運用コードを悪用のリスクにさらすアラートを特定しました。緊急性の問題として修復する必要があります。可能な場合は、自動化を使用して修復の障壁を下げる。 * **Dependabot alerts:** セキュリティ修正には自動プル要求を使用します。「[Dependabot セキュリティの更新の構成](/ja/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-security-updates)」を参照してください。 * \*\*Code scanning アラート:\*\*Copilot Autofixを使用してターゲットキャンペーンを作成します。「[セキュリティキャンペーンの作成と管理](/ja/code-security/how-tos/manage-security-alerts/remediate-alerts-at-scale/creating-managing-security-campaigns)」を参照してください。 ## 詳細については、次を参照してください。 * [メトリックを使用した Dependabot アラートの優先順位付け](/ja/code-security/tutorials/manage-security-alerts/prioritizing-dependabot-alerts-using-metrics)