Usted administra código en GitHub y debe asegurarse de que los propietarios del repositorio sean notificados si se detecta una nueva dependencia vulnerable o malware. ¿Qué debe configurar?

Las alertas de Dependabot son la solución correcta porque escanean automáticamente las dependencias de su repositorio en busca de vulnerabilidades conocidas y le notifican a usted y a los propietarios del repositorio cuando se detecta una. Esto aborda directamente el requisito de ser notificado sobre nuevas dependencias vulnerables o malware. Configurar acciones de escaneo de CodeQL es incorrecto porque CodeQL se centra en el análisis de seguridad estático del código para encontrar vulnerabilidades, no en el monitoreo de dependencias. Configurar reglas de protección de ramas es incorrecto porque estas reglas controlan cómo se puede fusionar el código en una rama, no detectan vulnerabilidades en las dependencias. Suscribir a los propietarios a la GitHub Advisory Database es incorrecto porque, si bien la base de datos contiene información sobre vulnerabilidades, no escanea automáticamente las dependencias de su repositorio ni envía notificaciones proactivas.