GitHub アプリケーション脆弱性統合

  • リリースバージョン: Xanadu
  • 更新日 2024年08月01日
  • 所要時間：4分

    • GitHub アプリケーション脆弱性統合 は、静的アプリケーションセキュリティテスト (SAST) およびソフトウェア構成分析 (SCA) データをインポートして、GitHub 環境のリポジトリで脆弱性アラートを表示するのに役立ちます。

    GitHub アプリケーション脆弱性統合

    GitHub アプリケーション脆弱性統合 はスキャナーデータを収集し、そのデータを Now Platform®で使用できるようにします。脆弱性対応のServiceNow® アプリケーション脆弱性対応機能と簡単に統合し、インスタンスのサードパーティ脆弱性と GitHub アラートをマッピングします。

    GitHub 環境は複数の組織をサポートしています。これらの組織には、オンプレミスとエンタープライズの両方に、エンジニアリング、品質、ドキュメントなどのさまざまな部門が含まれている場合があります。また、各組織は複数のリポジトリをサポートできます。GitHub リポジトリ統合を使用してアプリケーションデータをインポートした後、これらのリポジトリから脆弱性とアラートのデータをインポートできます。インポートされたデータは、アプリケーション脆弱性対応アプリケーション内でアプリケーションと同様に処理されます。スキャナーが脆弱性を検出し、リポジトリのアラートを生成すると、アプリケーション脆弱性対応に脆弱性が作成されます。

    統合レコードごとに run-as ユーザーが構成されています。このユーザーのデフォルト値は VR.System です。この値は変更しないでください。

    利用可能バージョン

    リリースバージョン リリースノート

    GitHub アプリケーション脆弱性統合 v1.2、v1.1、1.0

    		 Application Vulnerability Response release notes

    互換性情報については、「KB0856498 脆弱性対応互換性マトリクスおよびリリーススキーマの変更」を参照してください。

    GitHub の統合

    統合 説明
    GitHub リポジトリ統合 v1.1 以降では、GitHub オンプレミスアカウントとクラウド (エンタープライズ) アカウントのすべてのアプリケーションデータをインポートします。統合では、組織 (オンプレミス) またはエンタープライズ (クラウド) 環境に設定したリポジトリからアプリケーションがインポートされます。

    他の GitHub 統合は、リポジトリ統合からインポートされた現在のアプリケーションデータに依存するため、実行する前にこの統合を実行します。
    GitHub CodeScan 統合 GitHub リポジトリからセキュリティ脆弱性とコーディングエラーのコードスキャン脆弱性アラートを取得します。インポートされたデータは、インスタンスの SAST 結果にマッピングされます。
    GitHub Dependabot 統合 既知の脆弱性がある依存関係の Dependabot アラートをリポジトリから取得します。インポートされたデータは、インスタンスの SCA 結果にマッピングされます。
    GitHub シークレットスキャン アプリケーションセキュリティテストの結果とともに、組織のコードからシークレットを取得します。データはインスタンスの SCA 結果にマッピングされます。
    GitHub シークレットスキャンロケーション 組織のコード内のスキャンされたシークレットの場所と行番号を取得して、開発者の修復に役立てます。

    GitHub リポジトリから Now Platform® への SBOMファイルのアップロード

    CI/CD (継続的統合および継続的デリバリ/展開) パイプラインで生成された SBOM ファイルが、Now Platform® インスタンスで正常にキューに入れられているかどうかを確認します。

    • GitHub 環境から開始する GitHub アクションを使用して、ソフトウェア開発サイクル中に潜在的に有害なコンポーネントから環境を保護します。
    • GitHub マーケットプレイスで SBOM アップロードに必要な GitHub アクションを取得します。

    SBOM ファイルをアップロードするには、SBOM アプリケーションが必要です。詳細については、「ソフトウェア部品表 の詳細」を参照してください。

    インポートされたデータの表示

    GitHub リポジトリ統合からインポートされたアプリケーションデータは、検出されたアプリケーション [sn_vul_app_release] テーブルに表示されます。最初にこの統合を実行します。

    リポジトリ統合は、[設定] メニューから GitHub アカウントのリポジトリに設定したタグとトピックをインポートします。カスタムプロパティは、リポジトリの下のメニューにあります。プロパティに設定した値は、キーと値のペアとしてインポートされます。インスタンス内でこの情報を表示する場所の詳細については、「GitHub アプリケーション脆弱性統合 インポートの実行ステータスとインポートされたリポジトリデータを表示する」を参照してください。

    GitHub Dependabot 統合からインポートされたデータ (検出結果) は、次のテーブルに表示されます。

    • 検出されたアプリケーション [sn_vul_app_release]
    • アプリケーション脆弱性のスキャンサマリー [sn_vul_app_vul_scan_summary]
    • アプリケーション脆弱性一致アイテム [sn_vul_app_vulnerable_item]
    • パッケージ [sn_vul_app_package]

    GitHub CodeScan 統合からインポートされたデータは、次のテーブルに表示されます。

    • 検出されたアプリケーション [sn_vul_app_release]
    • アプリケーション脆弱性のスキャンサマリー [sn_vul_app_vul_scan_summary]
    • アプリケーション脆弱性エントリ [sn_vul_app_vul_entry]
    • アプリケーション脆弱性一致アイテム [sn_vul_app_vulnerable_item]