维护依赖项的最佳做法
保持依赖项的最新状态对于维护安全的软件环境至关重要。 以下是一些建议：
采用以安全为中心的依赖项管理工具
- 使用并设置可扫描依赖项漏洞并自动建议更新的工具。
- 确保这些工具已集成到 CI/CD 管道中，以实现持续监控和更新。
- 在流程中遵循语义化版本控制，以避免破坏性更改。
定期执行漏洞扫描和审计
- 定期安排依赖项审计和依赖项扫描，以识别过期或存在漏洞的依赖项。
自动化安全修补程序管理
- 将依赖项管理工具配置为自动应用安全修补程序。
- 为关键安全更新设置自动化拉取请求，以便快速审查和合并。
对依赖项的使用实施策略
- 实施策略以强制使用安全版本的依赖项。
- 使用工具在拉取请求引入漏洞或未更新存在漏洞的依赖项时，阻止其合并。
在 CI/CD 中集成安全测试
- 将安全测试工具纳入 CI/CD 管道。
- 确保依赖项更新会自动进行安全合规性测试。
使用锁定文件和依赖项固定
- 使用锁定文件（例如
package-lock.json、yarn.lock、Pipfile.lock）将依赖项固定到已知的安全版本。 - 定期更新并审查这些锁定文件，确保依赖项保持最新状态且不会引入意外的安全问题。
监控安全公告
- 订阅你所使用语言和框架的安全公告。
- 将安全公告自动集成到开发工作流中，以便及时获知新的漏洞信息。
- 密切关注依赖项管理工具提供的仪表板。
- 注意关键更新，尤其是安全修补程序，并优先处理。
版本控制与变更管理
-
在版本控制中跟踪依赖项更改（例如，通过自动化拉取请求）。
-
定期进行代码审查，以确保更新不会引入新的漏洞。
培训与意识提升
- 教育开发和运维团队了解保持依赖项安全和最新的重要性。
- 提供有关如何有效使用依赖管理和安全工具的培训。
漏洞响应计划
- 在依赖项中发现漏洞时，应制定清晰的事件响应计划。
- 确保团队知道如何快速处理和修复安全问题。
通过遵循这些做法，可以显著降低过期或存在漏洞的依赖项带来的风险，并维护更加安全的环境。
GitHub 的帮助方式
GitHub 提供安全功能来帮助维护依赖项：
依赖项图：跟踪项目依赖项并识别漏洞。 请参阅“关于依赖关系图”。
依赖项评审：在请求合并之前捕获拉取请求中的不安全依赖项。 此外，依赖项审查操作 可能无法通过检查，并且在分支保护规则要求时，可以防止合并引入漏洞的拉取请求。 请参阅“关于依赖项评审”。
Dependabot：自动扫描漏洞，创建警报，并打开拉取请求，以更新易受攻击或过时的依赖项。 可以将多个更新分组到单个拉取请求中，以简化评审。 请参阅“关于 Dependabot 警报”。
GitHub Advisory Database：提供安全建议，为 Dependabot 的漏洞检测提供支持。 请参阅 关于 GitHub 公告数据库。 安全概述：显示组织的安全状况，其中包含风险存储库、警报趋势和功能启用状态的仪表板。 请参阅“关于安全概述”。
有关端到端供应链指南，请参阅 保护端到端供应链。