{"meta":{"title":"Краткое руководство по защите репозитория","intro":"Управление доступом к коду. Автоматически найдите и исправьте уязвимый код и зависимости.","product":"Безопасность и качество кода","breadcrumbs":[{"href":"/ru/enterprise-cloud@latest/code-security","title":"Безопасность и качество кода"},{"href":"/ru/enterprise-cloud@latest/code-security/getting-started","title":"Начало работы"},{"href":"/ru/enterprise-cloud@latest/code-security/getting-started/quickstart-for-securing-your-repository","title":"Краткое руководство по безопасному репозиторию"}],"documentType":"article"},"body":"# Краткое руководство по защите репозитория\n\nУправление доступом к коду. Автоматически найдите и исправьте уязвимый код и зависимости.\n\n## Введение\n\nВ этом руководстве показано, как настроить функции безопасности для репозитория.\n\nУ каждого репозитория свои потребности в безопасности, поэтому вам может не потребоваться включить все функции для репозитория. Дополнительные сведения см. в разделе [Функции безопасности GitHub](/ru/enterprise-cloud@latest/code-security/getting-started/github-security-features).\n\nНекоторые функции доступны для репозитории во всех планах. Дополнительные функции доступны организациям и предприятиям, которые используют GitHub Secret Protection, GitHub Code Security, or GitHub Advanced Security. Функции GitHub Advanced Security также включены для всех общедоступных репозиториев на GitHub. Дополнительные сведения см. в разделе [О GitHub Advanced Security](/ru/enterprise-cloud@latest/get-started/learning-about-github/about-github-advanced-security).\n\n## Управление доступом к репозиторию\n\nПервым шагом для защиты репозитория является определение того, кто может видеть и изменять код. Дополнительные сведения см. в разделе [Управление настройками и функциями вашего репозитория](/ru/enterprise-cloud@latest/repositories/managing-your-repositorys-settings-and-features).\n\nНа главной странице вашего репозитория нажмите ** «Настройки**», затем прокрутите вниз до «Danger Zone».\n\n* Чтобы настроить пользователей, которые могут просматривать репозиторий, выберите **Изменить видимость**. Дополнительные сведения см. в разделе [Настройка видимости репозитория](/ru/enterprise-cloud@latest/repositories/managing-your-repositorys-settings-and-features/managing-repository-settings/setting-repository-visibility).\n* Чтобы настроить пользователей, у которых есть доступ к репозиторию, и изменить разрешения, выберите **Управление доступом**. Дополнительные сведения см. в разделе [Управление командами и пользователями с доступом к репозиторию](/ru/enterprise-cloud@latest/repositories/managing-your-repositorys-settings-and-features/managing-repository-settings/managing-teams-and-people-with-access-to-your-repository).\n\n## Управление графом зависимостей\n\n```\n Администраторы репозитория могут включить или отключить граф зависимостей для репозиториев. Граф зависимостей интерпретирует манифесты и блокировки файлов в репозитории для идентификации зависимости.\n```\n\n1. На главной странице вашего репозитория нажмите ** «Настройки**».\n2. Клик **Advanced Security**.\n3. Рядом с графом зависимостей щелкните **Включить** или **Отключить**.\n\nДополнительные сведения см. в разделе [Изучение зависимостей репозитория](/ru/enterprise-cloud@latest/code-security/supply-chain-security/understanding-your-software-supply-chain/exploring-the-dependencies-of-a-repository#enabling-and-disabling-the-dependency-graph).\n\n## Менеджмент Dependabot alerts\n\n```\n Dependabot alerts генерируются, когда GitHub определяется зависимость в графе зависимостей с уязвимостью. \n Вы можете включить Dependabot alerts любой репозиторий.\n```\n\nКроме того, можно использовать Правила автообработки зависимостей для управления оповещениями в масштабе, чтобы можно было автоматически закрыть или отклонить оповещения, а также указать, для каких оповещений требуется Dependabot для открытия запросов на вытягивание. Сведения о различных типах правил автоматической сортировки и о том, разрешены ли репозитории, см. в разделе [Сведения о правилах автообработки Dependabot](/ru/enterprise-cloud@latest/code-security/dependabot/dependabot-auto-triage-rules/about-dependabot-auto-triage-rules).\n\nОбщие сведения о различных функциях, предлагаемых Dependabot и инструкции по началу работы см. в разделе [Краткое руководство по зависимостям](/ru/enterprise-cloud@latest/code-security/getting-started/dependabot-quickstart-guide).\n\n1. Щелкните рисунок профиля, а затем нажмите кнопку **\"Параметры**\".\n2. Клик **Advanced Security**.\n3. ```\n **Нажмите Включить** рядом с Dependabot alerts.\n ```\n\nДля получения дополнительной информации смотрите [Сведения об оповещениях Dependabot](/ru/enterprise-cloud@latest/code-security/dependabot/dependabot-alerts/about-dependabot-alerts) и [Управление функциями безопасности и анализа](/ru/enterprise-cloud@latest/account-and-profile/setting-up-and-managing-your-personal-account-on-github/managing-personal-account-settings/managing-security-and-analysis-settings-for-your-personal-account).\n\n## Настройка проверки зависимостей\n\nПроверка зависимостей позволяет визуализировать изменения зависимостей в запросах на вытягивание, прежде чем они будут объединены в репозитории. Дополнительные сведения см. в разделе [Сведения о проверке зависимостей](/ru/enterprise-cloud@latest/code-security/supply-chain-security/understanding-your-software-supply-chain/about-dependency-review).\n\nПроверка зависимостей — это функция GitHub Code Security .\nПроверка зависимостей включена для всех репозиториев с включённым графом зависимостей. Компании, которые используют GitHub Team или GitHub Enterprise Cloud с ними GitHub Code Security , также могут включать анализ зависимостей для частных и внутренних репозиториев.\n\nЧтобы включить проверку зависимостей для репозитория, убедитесь, что граф зависимостей включен.\n\n1. На главной странице вашего репозитория нажмите ** «Настройки**».\n2. Клик **Advanced Security**.\n3. Справа от Code Security, нажмите **Включить**.\n4. В разделе Code Security, проверьте, что граф зависимостей включён для репозитория.\n\n## Менеджмент Dependabot security updates\n\nДля любого репозитория, использующего Dependabot alerts, вы можете включить Dependabot security updates возможность запускать pull requests с помощью обновлений безопасности при обнаружении уязвимостей.\n\n1. На главной странице вашего репозитория нажмите ** «Настройки**».\n2. Клик **Advanced Security**.\n3. Далее Dependabot security updatesнажмите **Включить**.\n\nДополнительные сведения см. в разделе \\[AUTOTITLE и [Сведения об обновлениях для системы безопасности Dependabot](/ru/enterprise-cloud@latest/code-security/dependabot/dependabot-security-updates/about-dependabot-security-updates)]\\(/code-security/dependabot/dependabot-security-updates/configuring-dependabot-security-updates).\n\n## Менеджмент Dependabot version updates\n\nВы можете автоматически Dependabot запускать pull request, чтобы ваши зависимости оставались up-to-date. Дополнительные сведения см. в разделе [Сведения об обновлениях версий Dependabot](/ru/enterprise-cloud@latest/code-security/dependabot/dependabot-version-updates/about-dependabot-version-updates).\n\n1. На главной странице вашего репозитория нажмите ** «Настройки**».\n2. Клик **Advanced Security**.\n3. Далее Dependabot version updatesнажмите **Включить** , чтобы создать базовый `dependabot.yml` конфигурационный файл.\n4. Укажите зависимости для обновления и любых связанных параметров конфигурации, а затем зафиксируйте файл в репозиторий. Дополнительные сведения см. в разделе [Настройка обновлений версий Dependabot](/ru/enterprise-cloud@latest/code-security/dependabot/dependabot-version-updates/configuring-dependabot-version-updates#enabling-dependabot-version-updates).\n\n## Настройка Code Security\n\n> \\[!NOTE]\n\n```\n Code Security Функции доступны для всех публичных репозиториев, а также для частных репозиториев, принадлежащих организациям, входящим в состав команды или предприятия, использующего GitHub Code Security или GitHub Advanced Security.\n```\n\n```\n GitHub Code Security\n code scanningвключает , CodeQL CLI и Автофикс второго пилота, а также другие функции, которые находят и исправляют уязвимости в вашей кодовой базе.\n```\n\nВы можете настроить code scanning автоматическое выявление уязвимостей и ошибок в коде, хранящемся в вашем репозитории, с помощью Рабочий процесс анализа CodeQL инструмента или стороннего инструмента. В зависимости от языков программирования в вашем репозитории, вы можете настроить code scanning по CodeQL умолчанию, GitHub которая автоматически определяет языки для сканирования, наборы запросов для запуска и события, которые запускают новое сканирование. Дополнительные сведения см. в разделе [Настройка настройки по умолчанию для сканирования кода](/ru/enterprise-cloud@latest/code-security/code-scanning/enabling-code-scanning/configuring-default-setup-for-code-scanning).\n\n1. На главной странице вашего репозитория нажмите ** «Настройки**».\n2. В разделе «Безопасность» боковой панели нажмите **Advanced Security**.\n3. Если «Code Security» или «GitHub Advanced Security» ещё не включены, нажмите **«Включить**».\n4. Справа от «CodeQL analysis» выберите **«Настройка»,** затем **нажмите «По умолчанию**».\n5. В всплывающем окне просмотрите настройки настройки репозитория по умолчанию, затем нажмите **Включить CodeQL**.\n6. Выберите, хотите ли вы включить функции добавления, такие Автофикс второго пилотакак .\n\nВ качестве альтернативы стандартной настройке можно использовать расширенную конфигурацию, которая генерирует файл рабочего процесса, который можно редактировать для настройки code scanning с CodeQLпомощью . Дополнительные сведения см. в разделе [Настройка расширенной настройки для сканирования кода](/ru/enterprise-cloud@latest/code-security/code-scanning/creating-an-advanced-setup-for-code-scanning/configuring-advanced-setup-for-code-scanning#configuring-advanced-setup-for-code-scanning-with-codeql).\n\n## Настройка Secret Protection\n\n> \\[!NOTE]\n\n```\n Secret Protection Функции доступны для всех публичных репозиториев, а также для частных репозиториев, принадлежащих организациям, входящим в состав команды или предприятия, использующего GitHub Secret Protection или GitHub Advanced Security.\n```\n\n```\n GitHub Secret Protection Включает secret scanning защиту от push, а также другие функции, которые помогают обнаруживать и предотвращать секретные утечки в вашем репозитории.\n```\n\n1. На главной странице вашего репозитория нажмите ** «Настройки**».\n2. Клик **Advanced Security**.\n3. Если «Secret Protection» или «GitHub Advanced Security» ещё не включены, нажмите **«Включить**».\n4. Если отображается опция «Secret scanning» — нажмите **«Включить**».\n5. Выбирайте, хотите ли вы включать дополнительные функции, такие как сканирование на наличие шаблонов, не связанных с провайдером, и защита от push-файлов.\n\n## Настройка политики безопасности\n\nЕсли вы являетесь ответственный за репозиторий, рекомендуется указать политику безопасности для репозитория, создав файл с именем `SECURITY.md` в репозитории. Этот файл указывает пользователям, как лучше связаться с вами и сотрудничать с вами, когда они хотят сообщить об уязвимостях безопасности в репозитории. Вы можете просмотреть политику безопасности репозитория во вкладке репозитория ** Security and quality** .\n\n1. На главной странице вашего репозитория нажмите ** Security and quality**.\n2. В левой боковой панели, в разделе «Отчётность», нажмите ** «Политика безопасности**».\n3. Нажмите кнопку **Запуск установки**.\n4. Добавьте сведения о поддерживаемых версиях проекта и о том, как сообщить об уязвимости.\n\nДополнительные сведения см. в разделе [Добавление политики безопасности в репозиторий](/ru/enterprise-cloud@latest/code-security/getting-started/adding-a-security-policy-to-your-repository).\n\n## Следующие шаги\n\nВы можете просматривать оповещения функций безопасности и управлять ими для обработки зависимостей и уязвимостей в коде. Дополнительные сведения см. в разделе AUTOTITLE, AUTOTITLE[, ](/ru/enterprise-cloud@latest/code-security/dependabot/dependabot-alerts/viewing-and-updating-dependabot-alerts)\\[AUTOTITLE и [Управление запросами на вытягивание для обновлений зависимостей](/ru/enterprise-cloud@latest/code-security/dependabot/working-with-dependabot/managing-pull-requests-for-dependency-updates)]\\(/code-security/code-scanning/managing-code-scanning-alerts/assessing-code-scanning-alerts-for-your-repository).[](/ru/enterprise-cloud@latest/code-security/secret-scanning/managing-alerts-from-secret-scanning)\n\nВы также можете использовать GitHubинструменты для аудита ответов на оповещения безопасности. Дополнительные сведения см. в разделе [Аудит оповещений системы безопасности](/ru/enterprise-cloud@latest/code-security/getting-started/auditing-security-alerts).\n\n```\n Если у вас есть уязвимость безопасности в публичном репозитории, вы можете создать советник по безопасности, чтобы приватно обсудить и исправить эту уязвимость. Дополнительные сведения см. в разделе [AUTOTITLE и [AUTOTITLE](/code-security/security-advisories/working-with-repository-security-advisories/about-repository-security-advisories)](/code-security/security-advisories/working-with-repository-security-advisories/creating-a-repository-security-advisory).\n```\n\nЕсли вы используете GitHub Actions, можно использовать функции безопасности GitHub, чтобы повысить безопасность рабочих процессов. Дополнительные сведения см. в разделе [Справочник по безопасному использованию](/ru/enterprise-cloud@latest/actions/security-guides/using-githubs-security-features-to-secure-your-use-of-github-actions)."}