{"meta":{"title":"脆弱な依存関係の検出","intro":"GitHubによって報告された依存関係情報が期待どおりでない場合は、考慮すべき点が多数あり、さまざまな点を確認できます。","product":"セキュリティとコードの品質","breadcrumbs":[{"href":"/ja/code-security","title":"セキュリティとコードの品質"},{"href":"/ja/code-security/reference","title":"リファレンス"},{"href":"/ja/code-security/reference/supply-chain-security","title":"サプライ チェーンのセキュリティ"},{"href":"/ja/code-security/reference/supply-chain-security/troubleshoot-dependabot","title":"Dependabot のトラブルシューティング"},{"href":"/ja/code-security/reference/supply-chain-security/troubleshoot-dependabot/vulnerability-detection","title":"脆弱性検出"}],"documentType":"article"},"body":"# 脆弱な依存関係の検出\n\nGitHubによって報告された依存関係情報が期待どおりでない場合は、考慮すべき点が多数あり、さまざまな点を確認できます。\n\nGitHub によって報告される依存関係の検出結果は、他のツールから返される結果とは異なる場合があります。 これには理由があり、GitHub がプロジェクトの依存関係をどのように決定するかを理解しておくと役に立ちます。\n\n## 見つからない依存関係または未検出の依存関係\n\nGitHub では、依存関係データが他のツールとは異なる方法で生成および表示されます。 したがって、依存関係を特定するために別のツールを使用している場合は、ほぼ確実に異なる結果が表示されます。 次の点を考慮してください。\n\n* GitHub Advisory Database は、 GitHub が脆弱な依存関係とマルウェアを識別するために使用するデータ ソースの 1 つです。 これは、 GitHub上の一般的なパッケージ エコシステムに関するセキュリティ アドバイザリの無料でキュレーションされたデータベースです。 これには、GitHubからGitHub Security Advisoriesに直接報告されたデータと、公式のフィードとコミュニティ ソースの両方が含まれます。 このデータは、誤った情報または操作不可能な情報が開発コミュニティと共有されないように、 GitHub によってレビューおよびキュレーションされます。 詳しくは、「[GitHub Advisory Database でのセキュリティ アドバイザリの参照](/ja/code-security/how-tos/report-and-fix-vulnerabilities/fix-reported-vulnerabilities/browse-advisory-database)」をご覧ください。\n\n* 依存関係グラフは、ユーザのリポジトリ内のすべての既知のパッケージマニフェストファイルを解析します。 たとえば、npm、*package-lock.json* ファイルを解析します。 リポジトリのすべての依存関係とパブリック依存関係のグラフを作成します。 これは、依存関係グラフを有効にし、だれかが既定のブランチにプッシュし、サポートされているマニフェスト形式に変更を加えるコミットが含まれている場合に発生します。 詳細については、「[依存関係グラフ](/ja/code-security/concepts/supply-chain-security/dependency-graph)」および「[依存関係グラフのトラブルシューティング](/ja/code-security/reference/supply-chain-security/troubleshoot-dependabot/dependency-graph-errors)」を参照してください。\n\n* Dependabot は、マニフェスト ファイルを含む既定のブランチへのプッシュをスキャンします。 新しいアドバイザリが追加されると、既存のすべてのリポジトリがスキャンされ、影響を受けるリポジトリごとにアラートが生成されます。\n  Dependabot alerts は、アドバイザリごとに 1 つのアラートを作成するのではなく、リポジトリ レベルで集計されます。 詳細については、「[Dependabot アラート](/ja/code-security/concepts/supply-chain-security/dependabot-alerts#when-dependabot-sends-alerts)」を参照してください。\n\n* Dependabot security updates は、リポジトリ内の脆弱な依存関係に関するアラートを受け取ったときにトリガーされます。 可能であれば、 Dependabot リポジトリにプル要求を作成し、脆弱性を回避するために必要な最小限のセキュリティで保護されたバージョンに脆弱な依存関係をアップグレードします。 詳細については、「[Dependabot セキュリティ アップデート](/ja/code-security/concepts/supply-chain-security/dependabot-security-updates)」および「[Dependabot エラー](/ja/code-security/reference/supply-chain-security/troubleshoot-dependabot/dependabot-errors)」を参照してください。\n\nDependabot は、スケジュールに従ってリポジトリをスキャンするのではなく、何かが変更されたときにスキャンします。 たとえば、スキャンは、新しい依存関係が追加されたとき (プッシュごとにこれを確認GitHub)、または新しいアドバイザリがデータベースに追加されたときにトリガーされに同期されます。 詳細については、「[Dependabot アラート](/ja/code-security/concepts/supply-chain-security/dependabot-alerts#when-dependabot-sends-alerts)」を参照してください。\n\n## アラート の対象範囲\n\nDependabot alerts マニフェストまたはロックファイルからバージョンを決定できる推移的な依存関係を含め、更新する必要がある依存関係についてアドバイスします。\nDependabot security updates\nDependabotが依存関係を直接 \"修正\" できる変更のみを提案します。つまり、次のような場合です。\n\n* マニフェストまたはロックファイルで明示的に宣言されている直接依存関係\n* ロックファイルで宣言されている推移的な依存関係\n\n**チェック**: リポジトリのマニフェストまたはロックファイル内で指定されていないコンポーネントに対する、キャッチされていない脆弱性はありますか?\n\n## サポートされていないエコシステム\n\nDependabot alerts は、高品質で実用的なデータを提供できる一連のエコシステムでサポートされています。\nGitHub Advisory Databaseでキュレーションされたアドバイザリ、 依存関係グラフDependabot セキュリティ更新プログラム、、Dependabot alerts は、Javaの Maven、JavaScript の npm、Yarn、.NET の NuGet、Python の pip、Ruby の RubyGems、PHP の Composer など、いくつかのエコシステムに対して提供されています。\nDependabot alertsでサポートされているパッケージ エコシステムの概要については、[依存関係グラフがサポートされるパッケージ エコシステム](/ja/code-security/reference/supply-chain-security/dependency-graph-supported-package-ecosystems#supported-package-ecosystems) を参照してください。\n\nセキュリティ アドバイザリは、その他のエコシステムに対しても存在するかもしれないことに注意してください。 レビューされていないセキュリティ アドバイザリの情報は、特定のリポジトリの保守担当者によって提供されます。 このデータは、 GitHubによってキュレーションされません。 詳しくは、「[GitHub Advisory Database でのセキュリティ アドバイザリの参照](/ja/code-security/how-tos/report-and-fix-vulnerabilities/fix-reported-vulnerabilities/browse-advisory-database)」をご覧ください。\n\n**チェック**: キャッチされていない脆弱性は、サポートされていないエコシステムに適用されますか?\n\n## 過去の脆弱性\n\nGitHub Advisory Databaseは 2019 年 11 月に開始され、最初は 2017 年からサポートされているエコシステムのセキュリティ リスクに関する勧告を含むようにバックフィルされました。 データベースに CVE を追加するときは、新しい CVE のキュレーションと、新しいバージョンのソフトウェアに影響を与える CVE を優先します。\n\n古い脆弱性に関する一部の情報は、特にこれらの CVE が特に広く普及している場合に利用できますが、一部の古い脆弱性は GitHub Advisory Databaseに含まれていません。 データベースに含める必要がある特定の古い脆弱性がある場合は、\n[GitHub サポート ポータル](https://support.github.com)にお問い合わせください。\n\n**チェック**: キャッチされていない脆弱性の公開日は、National Vulnerability Database で 2017 年より前ですか?\n\n## 勧告データベース範囲\n\n一部のサードパーティツールは、人間によるチェックまたはフィルタが行われていない未キュレートの CVE データを使用しています。 これは、タグ付けや重要度のエラー、またはその他の品質に問題のある CVE により、わずらわしく有用性の低いアラートが頻出するということです。\n\nDependabotはGitHub Advisory Databaseのキュレーションされたデータを使用するため、アラートの量は少なくなりますが、受信するアラートは正確で関連性があります。\n\n## アラートの生成と集計\n\n依存関係に複数の脆弱性がある場合、アドバイザリとマニフェストのレベルで脆弱性ごとにアラートが生成されます。\n\n![異なるマニフェストを持つ同じパッケージからの 2 つのアラートを示す Dependabot タブのスクリーンショット。](/assets/images/help/repository/dependabot-alerts-view.png)\n\nレガシ Dependabot alerts は、同じ依存関係のすべての脆弱性を含む単一の集計アラートにグループ化されました。 レガシ Dependabot アラートへのリンクに移動すると、その依存パッケージとマニフェストの脆弱性を表示するためにフィルター処理された \\[ Dependabot ] タブにリダイレクトされます。\n\n![フィルター処理されたアラートが従来の Dependabot アラートに移動したことを示す Dependabot タブのスクリーンショット。](/assets/images/help/repository/legacy-dependabot-alerts-view.png)\n\nDependabot alertsのGitHub数は、アラートの合計数を示します。これは、依存関係の数ではなく、脆弱性の数です。\n\n**チェック**: 表示されている合計に不一致がある場合は、アラートの数と依存関係の数を比較していないかどうかを確認してください。 また、フィルター処理されたアラートのサブセットではなく、すべてのアラートを表示していることを確認します。\n\n## 依存関係無視オプション\n\n構成ファイル内の特定の依存関係を無視するように Dependabot を構成すると、それらの依存関係のセキュリティとバージョンの更新が防止されます。 セキュリティ更新プログラムのみを使用したい場合は、構成ファイルで既定の動作をオーバーライドする必要があります。 バージョンの更新の有効化を防止する方法については、「[Dependabot セキュリティの更新の構成](/ja/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configure-security-updates#overriding-the-default-behavior-with-a-configuration-file)」を参照してください。 依存関係の無視については、「[特定の依存関係を無視する](/ja/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/controlling-dependencies-updated#ignoring-specific-dependencies)」を参照してください。\n\n## GitHub Actions バージョンの Monorepo の制限事項\n\nリポジトリに複数の GitHub Actions (monorepo など) が含まれている場合、使用するタグ形式は、アクションのバージョン Dependabot 検出して更新する方法に影響します。\n\n* **ダッシュ (`-`) 区切り** (たとえば、`@my-action-v0.1.0`):\n  * Dependabot は、1 つの依存関係エントリの下に複数のアクションをグループ化したり、新しいバージョンを正しく検出できない場合があります。 これは、 Dependabot がアクションを区別するためにスラッシュベースのタグ解析に依存しているために発生します。\n* **スラッシュ (`/`) 区切り** (たとえば、`@my-action/v0.1.0`):\n  * Dependabot スラッシュによって、 Dependabotの解析ロジックに合わせた階層タグ構造が作成されるため、各アクションを個別に正しく検出して更新します。\n\n**レコメンデーション:** 複数のアクションがあるモノリポジトリの場合は、アクション タグに `name/version` (スラッシュ) 形式を使います。 これにより、 Dependabot がタグ階層を正しく解析し、アクションを個別に更新できるようになります。\n\n* Example:\n\n  ```yaml\n  # Recommended: namespaced with slash\n  uses: my-org/monorepo/my-action@my-action/v0.1.0\n\n  # Not recommended: dash\n  uses: my-org/monorepo@my-action-v0.1.0\n  ```\n\n## 詳細については、次を参照してください。\n\n* [Dependabot アラート](/ja/code-security/concepts/supply-chain-security/dependabot-alerts#when-dependabot-sends-alerts)\n* [Dependabot アラートの表示と更新](/ja/code-security/how-tos/manage-security-alerts/manage-dependabot-alerts/view-dependabot-alerts)\n* [リポジトリのセキュリティと分析設定を管理する](/ja/repositories/managing-your-repositorys-settings-and-features/enabling-features-for-your-repository/managing-security-and-analysis-settings-for-your-repository)\n* [依存関係グラフのトラブルシューティング](/ja/code-security/reference/supply-chain-security/troubleshoot-dependabot/dependency-graph-errors)\n* [Dependabot エラー](/ja/code-security/reference/supply-chain-security/troubleshoot-dependabot/dependabot-errors)\n* [GitHub Actionsランナーのディペンダボット](/ja/code-security/concepts/supply-chain-security/dependabot-on-actions)"}