Github Code Scanning 公開リポジトリは無料、GitHub Enterprise CloudはAdvancedSecurityを介してコードスキャンを利用可能に！

続きを見る

Code scanning is here! 🎉

Prevent issues in code by automating security as a part of your workflow.
✔️ Free for public repositories
✔️ Developer-first, GitHub native
✔️ Enabled for GitHub Enterprise Cloud

Learn more! https://t.co/2SSCjb09Il

— GitHub (@github) September 30, 2020

Githubがコードスキャニング機能をネイティブとしてリリースすることを発表しました。GithubはSemmlを迎えて一年、ついに公開となりました。

今回発表したコードキャンは、CodeQLエンジンを利用し2000以上のCodeQLクエリまたはカスタムクエリを作成してCode内のセキュリティ脆弱性を解析します。Github Code Scanningは、OASIS静的解析結果交換フォーマット（SARIF）に準拠している為、オープンソースや商用のSAST（静的解析）に組み込みこともできるのだとか。

Github Code Scanning βでの実績

Justin Hutchings氏のブログにアップされた記事によると、5月にβ版の導入を行い、140万回のコードスキャンを実施し、リモートコード実行（RCE）、SQLインジェクション、クロスサイトスクリプティング（XSS）の脆弱性を含む20,000を超えるセキュリティの問題を発見したと報告されています。

Github Code Scanning機能は、パブリックリポジトリでは無料で使うことができ、Github Enterpriseでは、GithubAdvancedSecurityの機能として利用することができるとのこと。すぐに使えて、140万回のスキャン実績、2万を超える脆弱性検知の実績は、プログラマーにとって多くの利益を与えてくれる機能になります。

Github Code Scanningで、検出可能な言語

2020年10月1日現在、検出可能な言語は以下の通りです。

• C/C++
• C#
• Go
• Java
• JavaScript/TypeScript
• Python

Go と JavaScript/TypeScript に対応しているのが嬉しいです^^

関連リンク

Github Docs – コードスキャンを設定する。

OASIS Static Analysis Results Interchange Format (SARIF) TC