{"meta":{"title":"Priorisieren von Dependabot- und Codeüberprüfungswarnungen mithilfe des Produktionskontexts","intro":"Konzentrieren Sie sich bei der Behebung auf echte Risiken, indem Sie Dependabot- und code scanning-Warnungen in Artefakten priorisieren, die in der Produktion bereitgestellt werden – unter Verwendung von Metadaten aus externen Systemen und Integrationen wie Dynatrace, JFrog Artifactory, Microsoft Defender for Cloud oder Ihren eigenen CI/CD‑Workflows.","product":"Sicherheit und Codequalität","breadcrumbs":[{"href":"/de/code-security","title":"Sicherheit und Codequalität"},{"href":"/de/code-security/tutorials","title":"Anleitungen"},{"href":"/de/code-security/tutorials/secure-your-organization","title":"Sichern Sie Ihre Organisation"},{"href":"/de/code-security/tutorials/secure-your-organization/prioritize-alerts-in-production-code","title":"Priorisieren von Warnungen im Produktionscode"}],"documentType":"article"},"body":"# Priorisieren von Dependabot- und Codeüberprüfungswarnungen mithilfe des Produktionskontexts\n\nKonzentrieren Sie sich bei der Behebung auf echte Risiken, indem Sie Dependabot- und code scanning-Warnungen in Artefakten priorisieren, die in der Produktion bereitgestellt werden – unter Verwendung von Metadaten aus externen Systemen und Integrationen wie Dynatrace, JFrog Artifactory, Microsoft Defender for Cloud oder Ihren eigenen CI/CD‑Workflows.\n\nAnwendungssicherheitsmanager (AppSec) werden häufig von einer hohen Anzahl von Warnungen überfordert, von denen viele möglicherweise kein echtes Risiko darstellen, da der betroffene Code nie zur Produktion führt. Wenn du deinen Warnungen den Produktionskontext zuordnen, kannst du Sicherheitsrisiken filtern und priorisieren, die sich auf Artefakte auswirken, die tatsächlich für Produktionsumgebungen genehmigt wurden. Dadurch kann sich dein Team auf die wichtigsten Sicherheitsrisiken konzentrieren und dabei Rauschen reduzieren und deinen Sicherheitsstatus verbessern.\n\n## 1. Zuordnen von Artefakten zum Produktionskontext\n\nDie GitHub von linked artifacts page ermöglicht es Ihnen, Produktionskontext für die Builds Ihres Unternehmens über die REST‑API oder eine Partnerintegration bereitzustellen. Teams können diesen Kontext dann verwenden, um Dependabot- und code scanning-Warnungen zu priorisieren. Weitere Informationen finden Sie unter [Informationen zu verknüpften Artefakten](/de/code-security/concepts/supply-chain-security/linked-artifacts).\n\nUm den Produktionskontext bereitzustellen, sollten Sie Ihr System folgendermaßen konfigurieren:\n\n* Aktualisieren Sie **Speicherdatensätze** in der linked artifacts page, sobald ein Artefakt in ein für die Produktion freigegebenes Paket‑Repository höhergestuft wird.\n* Aktualisieren Sie **Bereitstellungsdatensätze** , wenn ein Artefakt in einer Produktionsumgebung bereitgestellt wird.\n\nGitHub verarbeitet diese Metadaten und nutzt sie, um Warnungsfilter zu betreiben, wie z. B. `artifact-registry-url` und `artifact-registry` aus Speicherdatensätzen und `has:deployment` und `runtime-risk` aus Bereitstellungsdatensätzen. Laufzeitrisiken aus Bereitstellungsdatensätzen sind auch als Eigenschaften auf einzelnen code scanning und Dependabot Warnungsseiten sichtbar.\n\nWeitere Informationen zum Aktualisieren von Datensätzen finden Sie unter [Hochladen von Speicher- und Bereitstellungsdaten in die linked artifacts page](/de/code-security/how-tos/secure-your-supply-chain/establish-provenance-and-integrity/upload-linked-artifacts).\n\n## 2. Verwenden von Produktionskontextfiltern\n\nProduktionskontextfilter werden auf der ** Security and quality** Registerkarte verfügbar gemacht.\n\n* **Dependabot ansicht**: Siehe [Anzeigen und Aktualisieren von Dependabot-Warnungen](/de/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts#viewing-and-prioritizing-dependabot-alerts).\n* **Code scanning ansicht**: Siehe [Bewertung von Code-Scanning-Warnungen für Ihr Repository](/de/code-security/how-tos/manage-security-alerts/manage-code-scanning-alerts/assess-alerts).\n* **Ansicht \"Sicherheitskampagne\"**: Siehe [Erstellen und Verwalten von Sicherheitskampagnen](/de/code-security/how-tos/manage-security-alerts/remediate-alerts-at-scale/creating-managing-security-campaigns).\n\nNachdem die Warnungsliste angezeigt wurde, verwenden Sie die `artifact-registry-url` Oder `artifact-registry` Filter in Den Organisationsansichten, um sich auf Sicherheitsrisiken zu konzentrieren, die Artefakte betreffen, die in der Produktion vorhanden sind.\n\n* Für Ihr eigenes Artefakt-Repository, das unter `my-registry.example.com`gehostet wird, würden Sie Folgendes verwenden:\n\n ```text copy\n artifact-registry-url:my-registry.example.com\n ```\n\n* Wenn Sie JFrog Artifactory verwenden, können Sie `artifact-registry` ohne weitere Einrichtung in GitHub nutzen:\n\n ```text copy\n artifact-registry:jfrog-artifactory\n ```\n\nSie können auch die `has:deployment`- und `runtime-risk`-Filter verwenden, um sich auf Sicherheitsrisiken zu konzentrieren, die in Bereitstellungsmetadaten als in der Bereitstellung befindlich oder als Laufzeitsicherheitsrisiken gilt. Diese Daten werden automatisch aufgefüllt, wenn Sie MDC verbunden haben. Beispiel:\n\n* Um sich auf Warnungen im bereitgestellten Code zu konzentrieren, der für das Internet verfügbar gemacht wird, verwenden Sie Folgendes:\n\n ```text copy\n has:deployment AND runtime-risk:internet-exposed\n ```\n\nSie können diese Produktionskontextfilter auch mit anderen Filtern wie EPSS kombinieren:\n\n```text copy\nepss > 0.5 AND artifact-registry-url:my-registry.example.com\n```\n\n## 3. Beheben von Warnungen im Produktionscode\n\nNachdem Sie die Warnungen identifiziert haben, die Ihren Produktionscode auf Ausbeutungsrisiko setzen, müssen Sie sie dringend beheben. Wenn möglich, verwenden Sie die Automatisierung, um die Barriere zur Behebung zu senken.\n\n* **Dependabot alerts:** Verwenden Sie automatisierte Pullanforderungen für Sicherheitsfixes. Weitere Informationen findest du unter [Konfigurieren von Dependabot-Sicherheitsupdates](/de/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-security-updates).\n* **Code scanning Warnungen:** Erstellen Sie gezielte Kampagnen mit Copilot Autofix. Weitere Informationen findest du unter [Erstellen und Verwalten von Sicherheitskampagnen](/de/code-security/how-tos/manage-security-alerts/remediate-alerts-at-scale/creating-managing-security-campaigns).\n\n## Weiterführende Lektüre\n\n* [Priorisieren von Dependabot-Warnungen mithilfe von Metriken](/de/code-security/tutorials/manage-security-alerts/prioritizing-dependabot-alerts-using-metrics)"}