セキュリティ キャンペーンでのアラートの修正

セキュリティ キャンペーンでアラートを表示する

キャンペーンのターゲットが、書き込みアクセス権限を持つリポジトリ内のセキュリティ アラートである場合は、そのキャンペーン内のリポジトリ アラートの一覧に移動できます。

• リポジトリの [ Security and quality ] タブを表示し、サイドバーの [キャンペーン] の下にあるキャンペーンのいずれかをクリックします。
• 組織内の複数のリポジトリへの書き込みアクセス権がある場合は、組織の [ Security and quality ] タブを表示し、サイドバーの [キャンペーン] の下にあるいずれかのキャンペーンをクリックします。
• または、キャンペーンのメール通知で セキュリティ キャンペーンの表示 をクリックします。

このビューには、キャンペーンの現在のリポジトリのアラートが表示されます。これは "SQL インジェクション (CWE-89)" (灰色で強調表示) と呼ばれ、"octocat" (濃いオレンジ色の枠で囲まれている) によって管理されています。

セキュリティ キャンペーンでのアラートの修正

セキュリティ アラートをトリガーしたコードと修正候補を表示する場合は、アラート名をクリックしてアラート ビューを表示します。

agentic autofixが有効になっている場合、アラートを最も速く解決する方法は、Copilotに割り当てることです。 Agentic Autofix では、コードベースを探索し、修正プログラムを生成して検証し、pull request を開きます。 以下の「Copilotへのアラートの割り当て」を参照してください。 次の手順では、代わりにアラートを自分で修正する方法について説明します。

1. 1 つ以上のセキュリティ アラートに取り組む準備ができたら、それらが既に Copilot に割り当てられているか、他のユーザーがそれらに取り組んでいるかを確認します。 リンクされた作業を開いて、修正が既に進行中かどうかを確認します。

   • 開いているドラフト pull request によってこのアラートが修正される場合があります。
   • 開いている pull request によってこのアラートが修正される場合があります。
   • ブランチには、このアラートを修正するための変更が含まれている場合があります。

2. リポジトリのキャンペーン ビューで、修正するアラートを選択します。

3. セキュリティ アラートを作業ブランチに接続します。

   • 選択したアラートに対して少なくとも 1 つの "自動修正" 候補がある場合、自動修正のコミット をクリックし、変更を新しいブランチまたは既存のブランチにコミットします。
   • 選択したアラートに対して自動修正候補が使用できない場合は、[ 新しいブランチの作成 ] をクリックして、アラートの修正に取り組む新しいブランチを作成します。

4. アラートの修正とソリューションのテストが完了したら、変更の pull request を作成して、キャンペーン マネージャーにレビューを要求します。

Copilotへのアラートの割り当て

アラートを割り当てる前に、リポジトリで agentic autofix を有効にする必要があります。 「コードスキャンのagentic自動修復へのアクセスを管理」を参照してください。

Agentic Autofix は AI credits 分と GitHub Actions 分かかります。

キャンペーン ビューから 1 ~ 25 個のアラートを割り当てることができます。 1 つの割り当てにより、選択したアラートに対して 1 つのエージェント セッションと 1 つのプル リクエストが作成されます。 また、レビューを依頼されたレビュアーとして追加されます。

1. リポジトリのキャンペーン ビューで、割り当てるアラートを選択します。
2. アラートの一覧の上部にある、Copilotを割り当てるをクリックします。

通常、数分以内に Copilot は割り当てられたアラートに対応するプルリクエストを開きます。 pull request は修正と変更を要約し、割り当てられた各アラートの横に表示されます。

セッションと pull request の確認の詳細については、 コード スキャン アラートを解決する を参照してください。

セキュリティで保護されたコーディングに GitHub Copilot Chat を使用する

Copilot Chatにアクセスできる場合は、脆弱性、推奨される修正プログラム、修正プログラムが包括的であることをテストする方法について AI に質問できます。