Безопасность цепочки поставок

GitHub Это помогает защитить вашу цепочку поставок — от понимания зависимостей в вашей среде до изучения уязвимостей в этих зависимостей и их исправления.

Рекомендации и рекомендации по поддержанию используемых зависимостей, включая GitHubпродукты безопасности, которые могут помочь.

Граф зависимостей можно использовать для обнаружения всех зависимостей проекта. Граф зависимостей поддерживает ряд популярных экосистем пакетов.

Граф зависимостей автоматически анализирует файлы манифеста. Вы можете передавать данные зависимостей, которые нельзя обнаружить автоматически.

Проверка зависимостей позволяет выявлять небезопасные зависимости до их внедрения в вашу среду и предоставляет информацию о лицензиях, зависящих компонентах и возрасте зависимостей.

Dependabot alerts Помогут вам найти и исправить уязвимые зависимости до того, как они станут угрозой безопасности.

Используйте метрики для отслеживания и расстановки Dependabot alerts приоритетов по всей вашей организации.

Dependabot может исправить уязвимые зависимости, создавая pull requests с обновлениями безопасности.

Вы можете поддерживать Dependabot обновление пакетов до последних версий.

Понимайте частоту и опции настройки pull-запросов на обновления версий и безопасности.

Обновления мультиэкосистем объединяют обновления зависимостей между несколькими экосистемами пакетов в один pull request, снижая накладные расходы на проверку и упрощая процесс обновления.

Управление автоматизирует dependabot.yml обновления зависимостей в вашем репозитории.

Контролируйте, как Dependabot обрабатываются оповещения безопасности, включая фильтрацию, игнорирование, задержку или запуск обновлений безопасности.

GitHub регистрирует каждое задание обновления, выполняемого путем Dependabot, что позволяет просматривать обновления версий, исправления безопасности и автоматические перебазы между зависимостями.

Узнайте о неизменяемых выпусках и о том, как они помогут вам обеспечить целостность цепочки поставок программного обеспечения.