GitHub Advanced Security (Pro)
GitHub Advanced Securityコネクタは、GitHubからcode scanning、Dependabot、secret scanningのアラートを、3つの独立した検出事項タイプ（GitHub:CodeScanning、GitHub:Dependabot、GitHub:SecretScanning）としてインポートします。DefectDojoは、設定した組織内のアーカイブされていないすべてのリポジトリを検出し、それぞれについてレコードを作成します。
Prerequisites
インポートしたいリポジトリでは、GitHub Advanced Security機能が有効になっている必要があります。コネクタはGitHubの個人アクセストークンで認証を行います。
- GitHubでSettings > Developer settings > Personal access tokensを開き、対象の組織が所有する（またはアクセス権を持つ）トークンを作成します。
- セキュリティアラートへの読み取りアクセス権を付与します。fine-grainedトークンの場合、組織のリポジトリに対してCode scanning alerts、Dependabot alerts、Secret scanning alertsへのRead-onlyアクセスが必要です。classicトークンの場合は**
repoとsecurity_events**のスコープが必要です。 - トークンのownerがインポート対象のリポジトリを参照できることを確認してください。コネクタは、トークンがアクセスできるリポジトリしか参照できません。
Connector Mappings
- Locationフィールドに
https://api.github.comを入力します。GitHub Enterprise Serverの場合はhttps://<your-host>/api/v3を使用してください。 - Organizationフィールドに組織のログイン名を入力します。
- Secretフィールドに個人アクセストークンを入力します。
- 必要に応じて、インポートする検出事項を制限するためにMinimum Severityを設定します。
アーカイブされていない各リポジトリはレコードとなり、3種類のアラートファミリーそれぞれについてオープンなアラートが照会されます。あるリポジトリで特定のアラートファミリーが有効になっていない場合、それはresolvedとして報告されるのではなくスキップされるため、無効化された機能によって誤ってクローズされることはありません。