Когда исследователь безопасности сообщает об уязвимости в частном порядке, вы получите уведомление и можете принять его, задать дополнительные вопросы или отклонить его. Если вы принимаете отчет, вы готовы сотрудничать с исправлением уязвимости в частном порядке с исследователем безопасности.
Когда новая уязвимость приватно сообщается в репозитории, GitHub уведомляет администраторов репозиториев и менеджеров безопасности, если:
- Они следят за репозиторием всей активности или подписаны на уведомления «Оповещения о безопасности».
- У них есть уведомления, включенные для репозитория.
Дополнительные сведения о настройке параметров уведомлений см. в разделе Настройка отчетов о частных уязвимостях для репозитория.
Просмотр отчета об уязвимостях
-
На GitHubперейдите на главную страницу репозитория.
-
Под названием репозитория нажмите на Security and quality вкладку. Если вы не видите вкладку « Security and quality» — выберите выпадающее меню и нажмите Security and quality.
-
В левой боковой панели в разделе "Отчеты" щелкните Помощники.
-
Щелкните рекомендации, которые вы хотите просмотреть. Сообщаемая в частном порядке рекомендация имеет статус
Triage.
-
Внимательно просмотрите сведения о отчете и любую информацию о помощи искусственного интеллекта. Затем выберите, как продолжить.
-
Чтобы совместно работать с исправлением в частном порядке, нажмите кнопку "Пуск временной закрытой вилки ", чтобы создать место для дальнейших обсуждений с участником. Это не изменяет состояние предлагаемых рекомендаций
Triage. -
Чтобы принять сообщенную уязвимость, нажмите «Принять» и откройте как черновик , чтобы принять отчет об уязвимости как черновик предупреждения на GitHub. Если выбрать этот параметр, выполните указанные ниже действия.
- Это не делает отчет общедоступным.
- Отчет становится проектом рекомендаций по безопасности репозитория, и вы можете работать над ним так же, как и любые создаваемые вами проекты рекомендаций. Дополнительные сведения о помощниках по безопасности см. в разделе Рекомендации по безопасности репозитория.
-
Чтобы запросить дополнительную информацию или открыть обсуждение с репортером, вы можете прокомментировать рекомендации. Регулярный комментарий виден репортеру и всем участникам совместной работы по консультативным вопросам.
-
Если у вас достаточно информации, чтобы определить, что проблема, описанная репортером, не является угрозой безопасности, нажмите кнопку Закрыть рекомендации по безопасности. По возможности следует добавить комментарий, объясняющий, почему вы не рассматриваете отчет о риске безопасности, прежде чем закрыть рекомендации.
-
Обсуждение отчета с людьми, у которых есть доступ на запись
Пользователи с доступом на запись в репозиторий могут использовать конфиденциальные комментарии для координации друг с другом. Эти комментарии скрыты от репортера и приглашенных консультантов, которые не имеют доступа на запись.
Доступ к конфиденциальным комментариям основан на текущих разрешениях репозитория. Если доступ на запись пользователя удален, он больше не может читать конфиденциальные комментарии. Пользователи, получающие доступ на запись, могут читать существующие конфиденциальные комментарии.
- Введите комментарий в совете.
- Под полем комментария выберите "Конфиденциально". Только поддерживающие увидят этот комментарий.
- Нажмите кнопку "Комментарий".
Вы можете изменить или удалить конфиденциальный комментарий, если у вас по-прежнему есть доступ на запись в репозиторий. Вы не можете изменить комментарий с обычного на конфиденциальный или с конфиденциального на обычный, после публикации.