{"meta":{"title":"Dependabot アラートの表示と更新","intro":"プロジェクト GitHub 安全でない依存関係を検出した場合は、リポジトリの [ Dependabot ] タブでアラートの詳細を表示できます。 その後、プロジェクトを更新してこのアラートを解決することができます。","product":"セキュリティとコードの品質","breadcrumbs":[{"href":"/ja/code-security","title":"セキュリティとコードの品質"},{"href":"/ja/code-security/how-tos","title":"やり方"},{"href":"/ja/code-security/how-tos/manage-security-alerts","title":"セキュリティ アラートの管理"},{"href":"/ja/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts","title":"Dependabot アラート"},{"href":"/ja/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts","title":"Dependabot アラートを表示する"}],"documentType":"article"},"body":"# Dependabot アラートの表示と更新\n\nプロジェクト GitHub 安全でない依存関係を検出した場合は、リポジトリの [ Dependabot ] タブでアラートの詳細を表示できます。 その後、プロジェクトを更新してこのアラートを解決することができます。\n\nリポジトリの \\[ Dependabot ] タブには、開いている Dependabot alerts と閉じているすべての Dependabot security updatesが一覧表示されます。 パッケージ、エコシステム、マニフェストでアラートをフィルター処理できます。 アラートの一覧を並べ替えたり、特定のアラートをクリックしてその詳細を表示したりすることができます。 アラートを 1 つずつ、または複数のアラートを一度に選択して、閉じるか、再度開くこともできます。 詳細については、「[Dependabot アラート](/ja/code-security/concepts/supply-chain-security/dependabot-alerts)」を参照してください。\n\n## リポジトリ内の脆弱性のある依存関係の更新について\n\n各 Dependabot アラートには一意の数値識別子があり、\\[ Dependabot ] タブには検出されたすべての脆弱性に対するアラートが一覧表示されます。 レガシ Dependabot alerts 依存関係ごとに脆弱性をグループ化し、依存関係ごとに 1 つのアラートを生成しました。 従来の Dependabot アラートに移動すると、そのパッケージに対してフィルター処理された Dependabot タブにリダイレクトされます。\n\nユーザー インターフェイスで使用できるさまざまなフィルターと並べ替えオプションを使用して、 Dependabot alerts をフィルター処理および並べ替えることができます。 詳細については、以下の[「Dependabot alertsの表示と優先順位付け」を](#viewing-and-prioritizing-dependabot-alerts)参照してください。\n\nまた、 Dependabot アラートに応答して実行されたアクションを監査することもできます。 詳細については、「[セキュリティ アラートの監査](/ja/code-security/concepts/security-at-scale/audit-security-alerts)」を参照してください。\n\n## 表示と優先順位付け Dependabot alerts\n\nDependabot alertsを表示、並べ替え、フィルター処理して、最も重要なアラートに集中できます。\n\n既定では、アラートは **\\[最も重要]** で並べ替えられます。これにより、潜在的な影響、アクション可能性、関連性などの要因に基づいて修正プログラムの優先順位を付けるのに役立ちます。 この優先順位付けは継続的に改善され、CVSS スコア、依存関係スコープ、脆弱な関数呼び出しが検出されるかどうかなどのシグナルが考慮されます。\n\nリポジトリの \\[Dependabot alerts] タブで、開いているDependabot security updatesと閉じているすべてのDependabotを表示できます。\n\nAI エージェントにアラートを割り当てると、エージェントは自動的にセッションを作成し、提案された修正プログラムを含むドラフト pull request を開きます。 エージェントが修正プログラムを生成できない場合は、アラートの担当者として残ります。 アラート タイムラインで \\[ **セッションの表示** ] をクリックすると、エージェントのログを確認し、pull request が作成されなかった理由を理解できます。 エージェントを担当者として削除できるのは、ユーザーだけです。\n\n1. GitHub で、リポジトリのメイン ページに移動します。\n\n2. リポジトリ名の下にある \\[ ** Security and quality** ] タブをクリックします。\\[ Security and quality] タブが表示されない場合は、 **** ドロップダウン メニューを選択し、\\[ ** Security and quality**] をクリックします。\n\n3. サイドバーの \\[結果] セクションで、 **Dependabot** ドロップダウン メニューを選択し、\\[ **脆弱性**] をクリックします。\n\n4. 必要に応じて、アラートの一覧を絞り込みます。\n * 一覧の上部にあるドロップダウン メニューを使用して、アラートを並べ替えたりフィルター処理したりします。\n\n \n\n * 検索バーに直接入力して、アラートの詳細と関連するセキュリティ アドバイザリ全体のフルテキスト検索など、アラートをフィルター処理します。\n\n * アラートのラベルをクリックすると、そのラベルでリストが自動的にフィルター処理されます。\n\n * 開発の依存関係に影響するアラートを特定するには、 `scope:development` フィルターでフィルター処理するか、\"開発\" というラベルの付いたアラートを探します。 これは、運用環境の依存関係に影響を与えるアラートの優先順位を最初に設定するのに役立ちます。\n\n \n\n5. アラートをクリックすると、その詳細が表示されます。 開発スコープの依存関係のアラートには、アラートの詳細ページの \\[タグ] セクションに \"開発\" ラベルが含まれます。\n\n ![アラート詳細ページの \\[タグ\\] セクションを示すスクリーンショット。](/assets/images/help/repository/dependabot-alerts-tags-section.png)\n\n6. 右側のパネルで、アラートの所有権を割り当てます。\n\n * \\[担当者] の横にある ドロップダウン メニューをクリックして、一覧からユーザー、チーム、または AI エージェントを選択します。 \\[ **エージェントに割り当てる] をクリックして、エージェント** に直接割り当てることもできます。\n\n エージェントにアラートを割り当てると、ダイアログが表示され、必要に応じて次のことができます。\n\n * 修正プログラムに関する追加のコンテキストを含むカスタム プロンプトを追加します。\n * 別のリポジトリを選択します。\n * 使用する AI モデルを選択します。\n * 構成したカスタム エージェントを選択します (特殊なタスクに推奨)。\n\n7. 必要に応じて、関連するセキュリティ アドバイザリの改善を提案するには、アラートの詳細ページの右側で、**GitHub Advisory Databaseの \\[このアドバイザリの機能強化の提案**] をクリックします。 「[GitHub Advisory Database でのセキュリティ アドバイザリの編集](/ja/code-security/how-tos/report-and-fix-vulnerabilities/fix-reported-vulnerabilities/edit-advisory-database)」を参照してください。\n\n### アラートの優先順位付けのヒント\n\n* **最も重要な**並べ替え順序を使用して、潜在的な影響が最も高いアラートに集中します。\n* 開発の依存関係よりも運用環境の依存関係に影響するアラートに優先順位を付けます。\n* **担当者**機能を使用して、各アラートに対処する担当者を明確にし、チームがより効果的に脆弱性を追跡して修復できるようにします。\n* Dependabot 自動トリアージ ルールを使用して、アラートに自動的に優先順位を付けたり、管理したりします。 「[Dependabot 自動優先順位設定ルール](/ja/code-security/concepts/supply-chain-security/dependabot-auto-triage-rules)」を参照してください。\n\n依存関係スコープでサポートされているエコシステムとマニフェスト ファイルの詳細については、 [依存関係スコープでサポートされるエコシステムとマニフェスト](/ja/code-security/reference/supply-chain-security/supported-ecosystems-and-manifests-for-dependency-scope) を参照してください。\n\n使用可能なフィルターの完全な一覧については、 [AUTOTITLE を](/ja/code-security/reference/supply-chain-security/dependabot-alerts-filters)参照してください。\n\nプログラムでアラートを取得するには、 [Dependabot alerts の REST API エンドポイント](/ja/rest/dependabot/alerts) を参照してください。\n\n## アラートの確認と修正\n\nDependabotアラートの詳細を確認して、脆弱性とその修正方法を理解できます。\n\n### 脆弱性のある依存関係を修正する\n\n1. アラートの詳細を表示します。 詳細については、Dependabot alertsの[表示と優先順位付け](#viewing-and-prioritizing-dependabot-alerts) (上記) を参照してください。\n\n2. Dependabot security updates有効にしている場合は、依存関係を修正する pull request へのリンクが存在する可能性があります。 または、アラートの詳細ページの上部にある \\[ **セキュリティ更新プログラム Dependabot 作成** ] をクリックしてプル要求を作成することもできます。\n\n ![Dependabot アラートのスクリーンショット。\\[Dependabot セキュリティ更新プログラムの作成\\] ボタンが濃いオレンジ色の枠線で強調表示されています。](/assets/images/help/repository/create-dependabot-security-update-button-ungrouped.png)\n\n3. 必要に応じて、 Dependabot security updatesを使用しない場合は、ページの情報を使用して、アップグレード先の依存関係のバージョンを決定し、プル要求を作成して依存関係をセキュリティで保護されたバージョンに更新できます。\n\n4. 依存関係を更新して脆弱性を解決する準備ができたら、プルリクエストをマージしてください。\n\nDependabotによって発生する各プル要求には、Dependabotを制御するために使用できるコマンドに関する情報が含まれています。 詳細については、「[依存関係の更新に関するPull Requestを管理する](/ja/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/manage-dependabot-prs#managing-dependabot-pull-requests-with-comment-commands)」を参照してください。\n\n## Dependabot alerts を無視します\n\n> \\[!NOTE]\n> 無視できるのは、オープン アラートのみです。\n\n依存関係をアップグレードするための広範な作業をスケジュールする場合や、アラートを修正する必要がないと判断した場合は、アラートを無視できます。 既に評価済みのアラートを無視すると、新しいアラートが表示されたときに簡単にトリアージできます。\n\n1. [\n Dependabot alertsの表示と優先順位付け](#viewing-and-prioritizing-dependabot-alerts)(上記)。\n\n2. \\[無視する] ドロップダウンを選択し、アラートを無視する理由をクリックします。 修正されていない無視されたアラートは、後で再度開くことができます。\n\n3. 必要に応じて、無視のコメントを追加します。 無視のコメントはアラート タイムラインに追加され、監査と報告の間に正当な理由として使用できます。 GraphQL API を使用して、コメントを取得または設定できます。 コメントは `dismissComment` フィールドに含まれています。 詳細については、GraphQL API ドキュメントの「[Dependabot](/ja/graphql/reference/dependabot#object-repositoryvulnerabilityalert)」を参照してください。\n\n ![\\[無視する\\] ドロップダウンと無視のコメントを追加するオプションがオレンジ色の枠線で囲まれている状態の Dependabot アラート ページのスクリーンショット。](/assets/images/help/repository/dependabot-alerts-dismissal-comment.png)\n\n4. **\\[アラートを無視]** をクリックします。\n\n### 複数のアラートを一度に却下する\n\n1. 開いている Dependabot alertsを表示します。\n2. 必要に応じて、ドロップダウン メニューを選び、適用するフィルターをクリックして、アラートの一覧をフィルター処理します。 検索バーにフィルターを入力することもできます。\n3. 各アラートのタイトルの左側で、無視するアラートを選びます。\n\n\n\n1. 必要に応じて、アラートの一覧の上部で、ページ上のすべてのアラートを選びます。\n\n![Dependabot alerts ビューのヘッダー セクションのスクリーンショット。 \\[すべて選択\\] チェックボックスが濃いオレンジ色の枠線で強調表示されています。](/assets/images/help/graphs/select-all-alerts.png)\n\n1. \\[アラートを無視する] ドロップダウンを選び、アラートを無視する理由をクリックします。\n\n![アラートのリストのスクリーンショット。 \\[アラートを無視する\\] ボタンの下に、\\[無視する理由を選択\\] というラベルが付いたドロップダウンが展開されます。](/assets/images/help/graphs/dismiss-multiple-alerts.png)\n\n## クローズされたアラートの表示と更新\n\n開いているすべてのアラートを表示し、以前に却下したアラートをもう一度開くことができます。 既に修復済みのクローズされたアラートをもう一度開くことはできません。\n\n1. GitHub で、リポジトリのメイン ページに移動します。\n\n2. リポジトリ名の下にある \\[ ** Security and quality** ] タブをクリックします。\\[ Security and quality] タブが表示されない場合は、 **** ドロップダウン メニューを選択し、\\[ ** Security and quality**] をクリックします。\n\n3. サイドバーの \\[結果] セクションで、 **Dependabot** ドロップダウン メニューを選択し、\\[ **脆弱性**] をクリックします。\n\n4. クローズされたアラートのみを表示するには、 **\\[Closed]** をクリックします。\n\n ![\\[クローズ\\] タブが濃いオレンジ色の枠線で強調表示された状態の Dependabot alerts リストを示すスクリーンショット。](/assets/images/help/repository/dependabot-alerts-closed-checkbox.png)\n\n5. 表示または更新するアラートをクリックします。\n\n6. 必要に応じて、却下されたアラートを再度開く場合は、 **\\[Reopen]** をクリックします。 既に修正されたアラートをもう一度開くことはできません。\n\n \n\n### 一度に複数のアラートをもう一度開く\n\n1. 閉じた Dependabot alerts を表示します。\n2. 各アラート タイトルの左で、各アラートの隣にあるチェックボックスをクリックし、再開するアラートを選びます。\n3. 必要に応じて、アラートの一覧の上部で、ページ上のすべてのクローズされたアラートを選びます。\n\n![\\[すべて選択\\] チェックボックスがタブが濃いオレンジ色の枠線で強調表示された状態の \\[クローズ\\] タブのアラートのスクリーンショット。](/assets/images/help/graphs/select-all-closed-alerts.png)\n\n1. **\\[再度開く]** をクリックして、アラートをもう一度開きます。 既に修正されたアラートをもう一度開くことはできません。\n\n## 監査ログを確認するDependabot alerts\n\n組織 のメンバーが Dependabot alertsに関連するアクションを実行すると、監査ログのアクションを確認できます。 ログへのアクセスの詳細については、 [あなたの組織の監査ログを確認する](/ja/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/reviewing-the-audit-log-for-your-organization#accessing-the-audit-log) を参照してください。\n\n\n\nDependabot alertsの監査ログのイベントには、アクションを実行したユーザー、アクションの内容、アクションが実行された日時などの詳細が含まれます。 イベントには、アラート自体へのリンクも含まれています。 組織のメンバーがアラートを無視すると、イベントに無視する理由とコメントが表示されます。\nDependabot alertsアクションの詳細については、`repository_vulnerability_alert`[](/ja/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/audit-log-events-for-your-organization) および カテゴリを参照してください。"}