Zarządzasz kodem w GitHubie i musisz zapewnić, że właściciele repozytoriów będą powiadamiani o wykryciu nowej podatnej zależności lub złośliwego oprogramowania. Co należy skonfigurować?

Dependabot to narzędzie GitHub, które automatycznie skanuje zależności w repozytorium pod kątem znanych luk w zabezpieczeniach i generuje alerty. Powiadamia właścicieli repozytoriów o wykryciu nowych podatności, a także może tworzyć żądania ściągnięcia w celu aktualizacji podatnych zależności. Akcje skanowania CodeQL służą do analizy kodu pod kątem błędów bezpieczeństwa i jakości, a nie do monitorowania zależności. Reguły ochrony gałęzi zapobiegają bezpośrednim zatwierdzeniom do ważnych gałęzi i wymuszają określone przepływy pracy, ale nie monitorują zależności. Subskrybowanie GitHub Advisory Database jest pasywnym działaniem i nie zapewnia automatycznych powiadomień dla właścicieli repozytoriów o podatnościach w ich konkretnych projektach.