Organization のプライベート脆弱性レポートの構成

Organization オーナーとセキュリティマネージャーは、すべてのパブリックリポジトリに対してプライベート脆弱性レポートを有効にすることで、セキュリティ研究者たちが Organization 内にあるリポジトリの脆弱性を安全にレポートできるようにすることができます。

この機能を使用できるユーザーについて

Anyone with admin permissions to an organization, or with a security manager role within the organization, can enable and disable private vulnerability reporting for that organization.

この記事の内容

セキュリティの脆弱性を非公開で報告する方法について

セキュリティリサーチャーは、多くの場合、脆弱性についてユーザーに通知しなくてはならないと感じますが、脆弱性は悪用されることがあります。脆弱性を含むリポジトリのメンテナンス担当者に連絡するための明確な指示がない場合は、セキュリティリサーチャーが、その脆弱性についてソーシャルメディアに投稿したり、メンテナンス担当者にダイレクトメッセージを送信したり、イシューを作成して公開したりするしかない場合があります。このような状況では、脆弱性の詳細が広く知れわたってしまう可能性があります。

プライベート脆弱性レポートを使うと、セキュリティ研究者は簡単なフォームを使って脆弱性を直接報告できます。

セキュリティ研究者によって脆弱性が非公開で報告されると、通知を受け取って、承諾するか、さらに質問するか、拒否するかを選ぶことができます。レポートを承諾した場合は、セキュリティ研究者と非公開で脆弱性の修正を共同で行う準備が整います。

Organization の所有者やセキュリティマネージャーにとって、プライベート脆弱性レポートを使うことによるベネフィットには次のようなものがあります。* 問い合わせの内容が公開されたり、望ましくない手段で問い合わせを受けたりするリスクが軽減されます。

解決時と同じプラットフォームで簡単にレポートを受け取ることができます
メンテナンス担当者に代わって、セキュリティリサーチャーが、アドバイザリレポートを作成するか、少なくとも開始します。
アドバイザリについての議論と解決に使ったのと同じプラットフォームで、メンテナンス担当者がレポートを受け取ります。
脆弱性を多くの人々に知られる可能性が低くなります。
脆弱性の詳細について、非公開でセキュリティリサーチャーと共に議論し、パッチを使って共同作業する機会。

次の手順は、Organization レベルでの有効化についてのものです。リポジトリの機能を有効にする方法について詳しくは、「リポジトリのプライベート脆弱性レポートの構成」をご覧ください。

プライベート脆弱性レポートが有効になっているリポジトリで新しい脆弱性がプライベートに報告されると、次の場合、GitHub はリポジトリメンテナンス担当者とセキュリティマネージャーに通知します。

リポジトリでのすべてのアクティビティを監視している。
リポジトリで通知が有効にされている。

通知の基本設定の構成について詳しくは、「リポジトリのプライベート脆弱性レポートの構成」をご覧ください。

組織に追加されたパブリックリポジトリのプライベート脆弱性レポートの有効化または無効化

GitHub-recommended security configuration を使用して組織に追加された新しいパブリックリポジトリのプライベート脆弱性レポートを有効、または無効にしたり、custom security configuration を作成したりできます。詳細については、「組織での GitHub で推奨されるセキュリティ構成の適用」および「Creating a custom security configuration」を参照してください。

リポジトリに対してプライベート脆弱性レポートを有効にした場合のセキュリティ研究者への表示

プライベート脆弱性レポートがリポジトリに対して有効になっている場合、セキュリティ研究者には、リポジトリの [アドバイザリ] ページに新しいボタンが表示されます。セキュリティリサーチャーがこのボタンをクリックすると、リポジトリのメンテナンス担当者に脆弱性を安全に報告できます。

また、セキュリティリサーチャーは、REST API を使って、セキュリティの脆弱性を非公開で報告できます。詳細については、「セキュリティ脆弱性を非公開で報告する」をご覧ください。