ライブラリの脆弱性を監視する

Code Audit の Libraries は収集した依存関係のバージョンとアドバイザリの証拠を表示します。バージョンの一致、アプリへの影響、ソースの検証は別の判定です。

​

前提条件

• Code Audit とライブラリチェックが利用可能な環境。
• 対応する依存関係ファイルと解決済みバージョンがあるリポジトリ。
• ブランチ監視には公開済みの完全な一覧が必要です。

​

一覧を読む

監査レポートは評価したコミットの一覧を保持します。ブランチページは最後の完全な一覧と現在のアドバイザリ結果を表示します。 リポジトリの一覧はデプロイ済みのライブラリを証明しません。未解決パッケージや不完全な収集は安全の証拠ではありません。

​

証拠と影響を読む

ライブラリを開き、バージョン、使用箇所、アドバイザリを確認します。一致は依存関係が影響を受ける可能性を示します。アプリへの影響評価はソースに基づく証拠を追加します。 不確かな評価では不足する証拠や条件が残ります。影響なしの評価でも元のバージョン一致は消えません。過去のリンクは当時の証拠を保持します。Download で評価を共有できます。

​

監視を管理する

完全な一覧の公開後は、新しいソース監査なしで新規の脆弱性をチェックできます。ライブラリ監視とソース監査の予約は別です。 Pause monitoring は証拠を保持して更新を止めます。Resume monitoring で更新を再開します。後のソース監査も明示的な一時停止を維持します。 最後の成功時刻と証拠の鮮度を確認してください。一時停止、遅延、古い一覧の状態で新しい警告がないことは安全を意味しません。

​

トラブルシューティング

完全な一覧が必要な場合は対応する依存関係ファイルで監査します。一覧が古ければ現在のリビジョンをスキャンします。ソース監査が動いても Libraries が使えない場合は管理者に確認します。別々に有効化できる機能です。

​

関連