ワークスペースをスキャンする
ワークスペースのホームからSecurityを選択してセキュリティセンターを開きます。Run security scanを選択すると、プロジェクトの依存関係を既知の公開脆弱性レコードと照合できます。 依存関係スキャンは自動的にも実行されます。CVE（Common Vulnerabilities and Exposures）識別子は、アプリが使用するサードパーティパッケージの問題など、公開記録された脆弱性を示します。
プロジェクト名とオーナー名を例に置き換えたワークスペースセキュリティセンター。
この依存関係の概要は、既知のパッケージの脆弱性を対象としています。より詳細なソースコードセキュリティスキャンの検出結果は含まれていません。
検出結果に優先順位を付ける
概要では、影響を受けるプロジェクトが露出度別にグループ化されます。公開済みかつパブリックなプロジェクト、公開済みプロジェクト、プロジェクト総数です。この情報を深刻度と合わせて確認し、最初に調査する対象を決めましょう。- プロジェクト名またはCVEで検索します。
- 深刻度、オーナー、公開状態、可視性でフィルタリングします。
- プロジェクトを展開して、影響を受けるパッケージ、バージョン、深刻度、CVEの詳細を確認します。
- オーナーに通知を使って、影響を受けるプロジェクトの担当者に通知します。
問題を修正する
影響を受けるプロジェクトの横にあるAgentで修正を選択すると、Replitが修正を準備します。セキュリティポリシーを設定する
アカウント設定 → 詳細 → セキュリティを開いて、自動保護と公開要件を設定します。
詳細設定内のセキュリティコントロール。個人アカウントの詳細や無関係な設定はトリミングされています。
Auto-Protectを有効にする
管理者はAuto-Protectを有効にすることで、新たに開示された依存関係の脆弱性がプロジェクトに影響する場合に、Replitにパッチを準備させることができます。Auto-Protect for security vulnerabilitiesドロップダウンを使って、タスクを発生させる最低深刻度を選択し、適用・再公開する前に提案された変更を確認してください。 この設定は、請求先アカウント内のすべてのワークスペースに適用されます。 自動依存関係スキャンは無料です。Replitが準備する修正作業は、Auto-Protectによって事前に準備されたパッチも含め、他の開発作業と同様に課金されます。設定と通知の設定については、Auto-Protectを参照してください。Require security scans before publishing
Require security scanを使うと、builderが手動でスキャンを開始するのではなく、公開時にスキャンを必須にできます。この設定は既存の公開には適用されません。 ワークスペース全体の依存関係をいつでも確認したい場合は、引き続きワークスペースセキュリティセンターでRun security scanを選択できます。深刻度で公開をブロックする
Block publishing at severityを使って、セキュリティスキャンの実行時にデプロイメントをブロックする最低脆弱性深刻度を選択します。例えば、クリティカルを選択すると、クリティカルな検出結果がある場合に公開がブロックされます。 このしきい値は、必須スキャンおよび個別にオプトインしたデプロイメントに適用されます。デフォルトではクリティカルのみが対象です。スキャンを公開要件にしたい場合は、Require security scanと合わせて設定してください。セキュリティアラートの送信先を選択する
Security alert recipientsを使うと、依存関係CVEダイジェストメールなどのアラートを、すべてのワークスペース管理者ではなく共有の配信リストに送ることができます。この設定は、請求先アカウント内のすべてのワークスペースに適用されます。 セキュリティ設定を行った後、保存を選択します。次のステップ
Observability
組織全体の消費量と監査ログを確認します。