GitHub アプリケーション脆弱性統合

GitHub アプリケーション脆弱性統合 はスキャナーデータを収集し、そのデータを ServiceNow AI Platform®で使用できるようにします。脆弱性対応のServiceNow® アプリケーション脆弱性対応機能と簡単に統合し、インスタンスのサードパーティ脆弱性と GitHub アラートをマッピングします。

GitHub 環境は複数の組織をサポートしています。これらの組織には、オンプレミスとエンタープライズの両方に、エンジニアリング、品質、ドキュメントなどのさまざまな部門が含まれている場合があります。また、各組織は複数のリポジトリをサポートできます。

一般に、最初に GitHub 組織 統合を使用して組織データをインポートしてから、 GitHub リポジトリ統合 を使用してリポジトリのデータをインポートして、各組織のリポジトリデータをインポートする必要があります。ただし、環境の設定が異なる場合があるため、これらの統合をこの実行順序で実行することは必須ではありません。

GitHub リポジトリ統合を使用してアプリケーションデータをインポートした後、これらのリポジトリから脆弱性とアラートのデータをインポートできます。インポートされたデータは、アプリケーション脆弱性対応アプリケーション内でアプリケーションと同様に処理されます。スキャナーが脆弱性を検出し、リポジトリのアラートを生成すると、アプリケーション脆弱性対応に脆弱性が作成されます。

統合レコードごとに run-as ユーザーが構成されています。このユーザーのデフォルト値は VR.System です。この値は変更しないでください。

利用可能バージョン

GitHub の統合

インスタンスのソースフィールドとマッピングの詳細については、「 GitHub アプリケーション脆弱性統合 統合のフィールドマッピング」を参照してください。

GitHub リポジトリから ServiceNow AI Platform® への SBOMファイルのアップロード

CI/CD (継続的統合および継続的デリバリ/展開) パイプラインで生成された SBOM ファイルが、ServiceNow AI Platform® インスタンスで正常にキューに入れられているかどうかを確認します。

• GitHub 環境から開始する GitHub アクションを使用して、ソフトウェア開発サイクル中に潜在的に有害なコンポーネントから環境を保護します。
• GitHub マーケットプレイスで SBOM アップロードに必要な GitHub アクションを取得します。

SBOM ファイルをアップロードするには、SBOM アプリケーションが必要です。詳細については、「ソフトウェア部品表 の探索」を参照してください。

インポートされたデータの表示

GitHub リポジトリ統合からインポートされたアプリケーションデータは、検出されたアプリケーション [sn_vul_app_release] テーブルに表示されます。最初にこの統合を実行します。

リポジトリ統合は、[設定] メニューから GitHub アカウントのリポジトリに設定したタグとトピックをインポートします。カスタムプロパティは、リポジトリの下のメニューにあります。プロパティに設定した値は、キーと値のペアとしてインポートされます。インスタンス内でこの情報を表示する場所の詳細については、「GitHub アプリケーション脆弱性統合 インポートの実行ステータスとインポートされたリポジトリデータを表示する」を参照してください。

GitHub Dependabot 統合からインポートされたデータ (検出結果) は、次のテーブルに表示されます。

• 検出されたアプリケーション [sn_vul_app_release]
• アプリケーション脆弱性のスキャンサマリー [sn_vul_app_vul_scan_summary]
• アプリケーション脆弱性一致アイテム [sn_vul_app_vulnerable_item]
• パッケージ [sn_vul_app_package]

GitHub CodeScan 統合からインポートされたデータは、次のテーブルに表示されます。

• 検出されたアプリケーション [sn_vul_app_release]
• アプリケーション脆弱性のスキャンサマリー [sn_vul_app_vul_scan_summary]
• アプリケーション脆弱性エントリ [sn_vul_app_vul_entry]
• アプリケーション脆弱性一致アイテム [sn_vul_app_vulnerable_item]