サイトアイコン APPSWINGBY Developers Blog

Github Code Scanning 公開リポジトリは無料、GitHub Enterprise CloudはAdvancedSecurityを介してコードスキャンを利用可能に!

Githubがコードスキャニング機能をネイティブとしてリリースすることを発表しました。GithubはSemmlを迎えて一年、ついに公開となりました。

今回発表したコードキャンは、CodeQLエンジンを利用し2000以上のCodeQLクエリまたはカスタムクエリを作成してCode内のセキュリティ脆弱性を解析します。Github Code Scanningは、OASIS静的解析結果交換フォーマット(SARIF)に準拠している為、オープンソースや商用のSAST(静的解析)に組み込みこともできるのだとか。

Github Code Scanning βでの実績

Justin Hutchings氏のブログにアップされた記事によると、5月にβ版の導入を行い、140万回のコードスキャンを実施し、リモートコード実行(RCE)、SQLインジェクション、クロスサイトスクリプティング(XSS)の脆弱性を含む20,000を超えるセキュリティの問題を発見したと報告されています。

Github Code Scanning機能は、パブリックリポジトリでは無料で使うことができ、Github Enterpriseでは、GithubAdvancedSecurityの機能として利用することができるとのこと。すぐに使えて、140万回のスキャン実績、2万を超える脆弱性検知の実績は、プログラマーにとって多くの利益を与えてくれる機能になります。

Github Code Scanningで、検出可能な言語

2020年10月1日現在、検出可能な言語は以下の通りです。

Go と JavaScript/TypeScript に対応しているのが嬉しいです^^

関連リンク

Github Docs – コードスキャンを設定する

OASIS Static Analysis Results Interchange Format (SARIF) TC

モバイルバージョンを終了