Hatena Blog Tags
はてなブログ トップ
GitHub advanced Security
このタグでブログを書く
言葉の解説
ネットで話題
関連ブログ

GitHub advanced Security

このタグの解説についてこの解説文は、すでに終了したサービス「はてなキーワード」内で有志のユーザーが作成・編集した内容に基づいています。その正確性や網羅性をはてなが保証するものではありません。問題のある記述を発見した場合には、お問い合わせフォームよりご連絡ください。
APC 技術ブログ•2ヶ月前

Dependabotのグルーピング機能は本当に「銀の弾丸」なのか？実証してみた

こんにちは。エーピーコミュニケーションズ ACS事業部の福井です。 前回の記事でDependabotの週次運用について書いた流れで、ふと気になっていたことがありました。 「そもそも、グループ化機能を使えば102件のアラームを本当に1本のPRに集約できるのか？」という純粋な疑問です。 試してみました。結果から先に言うと、できました。 102件のアラームが1本のPRに集約され、マージしたらすべて消えるのを確認できました。 ただ、そこに至るまでにGitHubの仕様の罠にいくつかハマりました。 そして「1本にまとめ切ること」がゴールなのか、改めて考えさせられることにもなりました。 その試行錯誤の記録を…

#GitHub advanced Security#GitHub Actions

関連ブログ

APC 技術ブログ•3ヶ月前

アラート疲労になってないですか？データから考える「Dependabot週1運用」のススメ

こんにちは、エーピーコミュニケーションズ ACS事業部の福井です。 「脆弱性は毎日公表されている。だからDependabotは毎日走らせて、アラートは即座に対応すべきだ」――。 こうした「正論」をセキュリティ担当者や監査チームから突きつけられた経験を持つ開発者は、少なくないのではないでしょうか。 私が以前携わっていたプロジェクトでは、脆弱性対応はクォーター（四半期）ごとに計画的に行っていました。 「緊急性のあるゼロデイかどうかをまず見極め、そうでなければ次の定期対応サイクルに組み込む」という考え方が現場では当たり前で、それは決して手抜きではありませんでした。 緊急性のあるものに関しては、もちろ…

#GitHub advanced Security#サイバーセキュリティー
APC 技術ブログ•4ヶ月前

OWASP Top 10 (2025) を GitHub Advanced Security でどこまでカバーできるか: 実測マッピングで整理する

こんにちは、エーピーコミュニケーションズ ACS事業部の福井です。 以前「なぜ OWASP なのか」「GHAS で AI アプリの脆弱性を検出してみた」という記事を書きました。 今回はその続編として、OWASP Top 10 の2025年改訂版を題材に、GitHub Advanced Security（GHAS）の各機能がどのカテゴリに対応できるのかを、実際にデモコードを書いてスキャンした結果とともに整理してみます。 「GHASを導入するとどんな脅威に対処できるの？」という問いへの、私なりの一次情報ベースの回答です。 近年、国内の企業をはじめとする多くの組織において、「GitHubの認証情報が…

#GitHub advanced Security#OWASP
APC 技術ブログ•4ヶ月前

GHASをパブリックリポジトリで無料試用したら、AIアプリの脆弱性が想像以上に見えた話

こんにちは、エーピーコミュニケーションズ ACS事業部の福井です。 最近、AI系のセキュリティ標準である OWASP AISVS（Artificial Intelligence Security Verification Standard）を勉強しながら、GitHub Advanced Security（GHAS）との組み合わせを検証していました。 「GHASって有料じゃないの？」と思われるかもしれませんが、実はパブリックリポジトリなら全機能が無料で使えます。 せっかくなので、意図的に脆弱性を仕込んだ AI アプリのデモプロジェクトを作って、GHAS に読ませてみました。 その結果が、予想以上…

#GitHub advanced Security#OWASP
つばろぐ•7ヶ月前

.github/dependabot.yml のメモ

.github/dependabot.yml とは .github/dependabot.yml は、Dependabot という機能の設定ファイルです。 Dependabot とは Dependabot とは、依存関係のセキュリティ脆弱性を自動で検出・修正するツールです。 脆弱性を検出した場合、依存関係をアップデートするプルリクエストを自動で作成します。 ここでいう依存関係とは、ライブラリやパッケージなどの外部コードのことを指します。 docs.github.com 作り方 最初はリポジトリの設定から作成しましょう。 リポジトリ > Settings > Security & analysi…

#GitHub
APC 技術ブログ•8ヶ月前

Security Campaignsで開発組織のセキュリティ文化を醸成する

はじめに こんにちは、エーピーコミュニケーションズ ACS事業部の田中です。 GitHub Advanced Seurityのコードスキャンやシークレットスキャンを活用していると、次のような状況に陥ることがあります。 ・リポジトリのスキャンが終わり、表示されたセキュリティアラートの件数を見て頭を抱えた ・「いつか対応しないと」と思いながら、未解決のセキュリティアラート件数が徐々に増えている このような状況に有効なのがSecurity Campaignsです。 docs.github.com Security Campaignsの機能でセキュリティアラートを脆弱性の重大度や種類などでグループ化し…

#GitHub#Platform Engineering#PlatformEngineering
APC 技術ブログ•8ヶ月前

GitHub Advanced Securityで実現する次世代ソフトウェアサプライチェーンセキュリティ

みなさんこんにちは。エーピーコミュニケーションズ ACS事業部の 亀崎です。ソフトウェアサプライチェーンセキュリティという言葉をよく聞くようになりました。そうしたことをうけて投稿したのがこちらでした。 techblog.ap-com.co.jp そうした中でGitHubのAdvanced Securityの注目度もこれまで以上にあがっていると思います。 今回はソフトウェアサプライチェーンセキュリティという側面からGitHub Advanced Securityについてご紹介していきたいと思います。 GitHub Advanced Security (GHAS) で実現する、次世代ソフトウェアサ…

#GitHub advanced Security#GitHub
APC 技術ブログ•1年前

Code Scanning と Copilot Autofix を段階的に導入する

近年、GitHub Copilot などによる AI 駆動開発が普及するにつれ、AI が生成したコードの安全性や真正性を継続的に確認するガードレールが必要となっています。 GitHub Advanced Security の Code Scanning による自動検出と Copilot Autofix による安全な修正の提案を組み合わせることで、生成されたコードの問題（脆弱性やエラー）をレビュー前に発見し、AI 活用による開発スピードとセキュリティ品質のトレードオフを緩和できます。 docs.github.com docs.github.com しかし、これらすべての機能を一度に導入すると、大…

#GitHub#Code Scanning#Copilot Autofix
APC 技術ブログ•1年前

GitHub Advanced Security AlertをBackstage Notificationsで通知しよう

はじめに 皆様いかがお過ごしでしょうか。ACS事業部亀崎です。 （例年の10月と考えたらまだ少し暑いかもしれませんが）10月に入ってやっと過ごしやすい気候になってきたかと思います。 過ごしやすくなってきたところで、新しい取り組みをご紹介したいと思います。 今回取り組むのは「GitHub Advanced SecurityのAlertをBackstage Notificationsに通知しよう」というものです。 BackstageとBackstage Notifications この記事をご覧の方々ならば、もう Backstageとはなにかということはご存知かとは思いますがあらためて。 Back…

#GitHub advanced Security#Platform Engineering#PlatformEngineering