はじめに

今更ですが、GitHub Dependabot を真面目に活用しようと色々と試したので、備忘録として残そうかと思います。

なぜ、GitHub Dependabot なのか？

今までの私の経験上、AWSを使うことが多かったため、システムやアプリケーションの脆弱性管理にはAmazon Inspectorを利用していました。
Amazon Inspectorを利用すれば、AWS上で管理しているサーバー内のOSやシステム、アプリケーションの脆弱性を含めて分析してくれるため、敢えてGitHub Dependabotを利用する必要はありませんでした。
しかし、今回真面目に活用しようと色々と調査した結果、その考えは誤りだったことがわかり、今後は積極的に活用していこうと心に決めました。

GitHub Dependabotとは？

いわゆるSCA（Software Composition Analysis：ソフトウェア構成分析）ツールに該当し、システムやアプリケーションで利用している外部ライブラリ（OSS）の脆弱性を分析・管理してくれるサービスです。
なお、無料です。
強みとしては、自動的に「このバージョンに上げれば直る」というPull Requestまで自動で作ってくれる機能があることです。
開発者はテストが通っているか確認して、マージボタンを押すだけで対応が完了します。

Amazon Inspectorとは？

AWSサービス群の一つ。インフラ環境（EC2やLambda、ECRなど）のOSやソフトウェアの脆弱性を分析・管理してくれるサービス（これだけでもGitHub DependabotのようなSCA相当の動作はしてくれる）。
なお、従量課金制です。
コードセキュリティ機能を有効化することで、リポジトリのソースコードを対象にSCA + SAST（Static Application Security Testing：静的アプリケーションセキュリティテスト）を実施してくれます。

GitHub DependabotとAmazon Inspectorを比較する

項目	GitHub Dependabot	Amazon Inspector
分類	SCA（Software Composition Analysis）ツール	AWSの脆弱性管理サービス
主な対象	リポジトリ内で利用しているOSSライブラリの依存関係	インフラ環境（EC2、Lambda、ECR）のOS・ソフトウェア
料金	無料	従量課金制
基本機能でできること	依存ライブラリの脆弱性検出	OS・ソフトウェアの脆弱性検出（＝これ単体でもSCA相当の動作）
追加機能	なし（標準でSCA機能が完結）	コードセキュリティを有効化すると、リポジトリのソースコードに対してSCA + SASTを実施可能
SAST（静的アプリケーションセキュリティテスト）	非対応	コードセキュリティ有効化時のみ対応
自動修正PR作成	対応（修正済みバージョンへのPull Requestを自動生成）	非対応（脆弱性の検出・通知が中心で、修正PR作成機能はない）
対応後のアクション	テスト確認後、マージボタンを押すだけで対応完了	検出結果をもとに手動で修正対応が必要
スキャンのタイミング	ビルド前のソースコード（リポジトリ）ベース	基本機能はデプロイ後の成果物ベース／コードセキュリティ有効化でリポジトリベースにも対応

つまり、Amazon Inspectorはコードセキュリティを有効化しない限り、GitHub Dependabot相当のことはしてくれない（＋自動修正PRまではAmazon Inspectorでも対応不可）ということに気がついていませんでした。

ということで、Amazon Inspector（コードセキュリティはオフ）＋ GitHub Dependabotを使用することで、インフラ環境とリポジトリのソースコード双方の脆弱性の分析・管理ができ、お互いをカバーできることがわかりました。

ここからは、GitHub Dependabotを簡単に始めるための設定方法について書いていきます。

GitHub Dependabotの設定

GitHubで、リポジトリのメインページに移動します。
リポジトリ名の下にある [Settings] をクリックします。
サイドバーの [セキュリティと品質] セクションで、[Advanced Security] をクリックします。
[Dependabot] で、以下を有効化します。
- Dependabot alerts
- Dependabot malware alerts
- ※※ Pull Requestを作ってもらいたい場合は、以下も有効化する ※※
- Dependabot security updates

Dependabotを設定してAlertがメールで届くようになりましたが、直ぐに対応できない場合、一定間隔でアラートのリストが欲しくなりますよね？
そんな人は以下で設定できます。

GitHubで、個人アカウントの[Settings]をクリックします。そこから、[Notifications]を選択します。
Systemの中に [Dependabot alerts: Email digest] があるので、[Send weekly] か [Send daily] を選択します。
※ [Send weekly]を選択した場合、デフォルト毎週月曜日にメールにて通知されます
次に、Dependabotを設定したリポジトリのメインページに移動します。
リポジトリに対して[Watch] -> [Custom] を選択して、[Security alerts]を選択します。（この時、他にも通知を受け取りたい場合は、他の項目も選択してください。）

こうすることで、Dependabotで管理されているAlertを定期的にメールで受け取ることができます。

まとめ

GitHub DependabotとAmazon Inspectorは、どちらも脆弱性管理に使えるツールですが、対象範囲と得意分野が異なります。

私はそこに気がついていませんでした。💦

GitHub Dependabotはリポジトリ内のOSSライブラリの依存関係に特化し、無料で使え、修正PRの自動作成まで対応してくれる点が強みです。
一方Amazon Inspectorは、インフラ環境（EC2・Lambda・ECRなど）の脆弱性管理が主目的で、コードセキュリティ機能を有効化すればSCA・SASTにも対応できますが、従量課金であり自動修正PRの作成はできません。

両者は競合するものではなく、役割が異なるため併用することでインフラとソースコードの双方をカバーでき、脆弱性管理の抜け漏れを防ぐことができます。
特にGitHub Dependabotは無料かつ設定も簡単なので、まだ活用していない場合はぜひ有効化を検討してみてください。

👋👋👋

参考

https://docs.github.com/ja/code-security/tutorials/secure-your-dependencies/dependabot-quickstart