GitHubメンテナー向け：今週中に有効化すべき6つのセキュリティ設定

GitHubでオープンソースプロジェクトを管理しているなら、あなたの責任はコードだけではありません。コントリビューターとユーザーのセキュリティにも責任があります。最近、280万回以上の動画視聴を持つサイバーセキュリティ教育者のJosephが、すべてのメンテナーが有効化すべき6つのセキュリティ設定を紹介しました。以下がその概要です。

1. Dependabotアラートとセキュリティアップデートを有効化する

Dependabotは依存関係をスキャンして既知の脆弱性を検出し、自動的にプルリクエストを発行して更新します。リポジトリのセキュリティタブで有効化してください。これはサプライチェーンセキュリティにおいて最も簡単な対策です。

2. コントリビューターに二要素認証（2FA）を必須にする

GitHubでは、リポジトリへのすべてのコントリビューターに2FAを強制できます。これにより、アカウント乗っ取りのリスクが大幅に減少します。リポジトリ設定の「モデレーションオプション」で「2FAを必須にする」を有効にしてください。

3. シークレットスキャンを有効化する

GitHubのシークレットスキャンは、誤ってコミットされたトークン、APIキー、その他のシークレットを検出します。パブリックリポジトリでは自動的に実行されますが、シークレットを含むコミットをブロックするプッシュ保護も有効にすべきです。

4. ブランチ保護ルールを使用する

デフォルトブランチを保護するために、プルリクエストレビュー、ステータスチェック、署名付きコミットを必須にします。これにより、直接プッシュを防ぎ、マージ前にコードレビューが行われることを保証します。リポジトリの「ブランチ」設定で設定してください。

5. CodeQLによるコードスキャンを有効化する

CodeQLはGitHubのセマンティックコード分析エンジンです。セキュリティ脆弱性やコード品質の問題を発見します。リポジトリのセキュリティタブで有効化してください。パブリックリポジトリでは無料です。

6. デプロイキーとトークンを確認しローテーションする

リポジトリにアクセス権を持つSSHキー、個人アクセストークン、OAuthアプリを定期的に監査してください。古いものや使われていないものは削除し、アクティブなキーは定期的にローテーションしてください。

これらの6つの設定は1時間もかからずに構成でき、オープンソースプロジェクトに対する最も一般的な攻撃ベクトルを防ぐことができます。インシデントが発生するまで待たないでください。