Sobre métricas do Dependabot

A visão geral de métricas do Dependabot fornece insights valiosos para desenvolvedores e gerentes de segurança de aplicativos (AppSec). Os dados na página do painel do Dependabot contêm um funil de priorização de vulnerabilidades que ajuda a priorizar, corrigir e acompanhar vulnerabilidades com eficiência em vários repositórios. Isso garante que os riscos mais críticos sejam resolvidos primeiro e que as melhorias de segurança possam ser medidas ao longo do tempo.

Para saber mais sobre como os gerentes de AppSec podem usar melhor essas métricas para otimizar a correção de alertas, confira Priorizando alertas do Dependabot usando métricas.

Você poderá ver as métricas do Dependabot se tiver:

• A função admin do repositório.
• Uma função de repositório personalizada com as permissões refinadas de "View Dependabot alerts" para o repositório. Para saber mais, confira Sobre as funções personalizadas do repositório.
• Acesso aos alertas para o repositório. Para saber mais, confira Gerenciando as configurações de segurança e análise do repositório.

As métricas disponíveis combinam gravidade, potencial de exploração e disponibilidade de patches e ajudam das seguintes maneiras:

• Priorização de alertas: o gráfico mostra o número de Dependabot alerts abertos. Você pode usar filtros, como disponibilidade de patches, gravidade, pontuação de EPSS para restringir a lista de alertas aos que correspondem aos critérios. Confira Filtros de exibição de painel do Dependabot.

• Acompanhamento de correções: o bloco “Alerts closed” mostra o número de alertas corrigidos com o Dependabot, descartados manualmente e descartados automaticamente, proporcionando visibilidade sobre o desempenho e as tendências de correção. O bloco também mostra o aumento percentual no número de alertas fechados nos últimos 30 dias.

• Pacote de maior risco: o bloco "Most vulnerabilities" mostra a dependência que tem mais vulnerabilidades na organização. O bloco também fornece um link para os alertas relacionados em todos os seus repositórios.

• Detalhamento no nível do repositório: a tabela mostra um detalhamento de alertas abertos por repositório, incluindo as contagens por gravidade (crítica, alta, média, baixa) e por potencial de exploração (por exemplo, EPSS > 1%), e pode ser classificada por cada coluna. Isso ajuda a identificar quais projetos estão sob maior risco, priorizar os esforços de correção onde eles mais importam e acompanhar o progresso ao longo do tempo em um nível granular.

Essas métricas ajudam os gerentes a medir a eficácia do gerenciamento de vulnerabilidades e a garantir a conformidade com as linhas do tempo organizacionais ou regulatórias.

• Contexto acionável para desenvolvedores: os desenvolvedores podem usar os filtros de gravidade e disponibilidade de patch para identificar as vulnerabilidades que podem corrigir imediatamente, reduzindo o ruído e concentrando a atenção em problemas que podem solucionar. Essas métricas ajudam a entender o perfil de risco das dependências, permitindo a priorização informada do trabalho.

Exibindo métricas do Dependabot de uma organização

1. Em GitHub, acesse a página principal da organização.

2. No nome da organização, clique em Segurança do .

   

3. Na barra lateral, em "Metrics", clique em Dependabot dashboard.

4. Opcionalmente, use os filtros à sua disposição ou crie seus filtros. Confira Filtros de exibição de painel do Dependabot.

5. Opcionalmente, clique em um número no eixo x do gráfico para filtrar a lista de alertas pelos critérios relevantes (por exemplo, has:patch severity:critical,high epss_percentage:>=0.01).

6. Ou clique em um repositório individual para ver os Dependabot alerts associados.

Configurando categorias de funil

A ordem de funil padrão é has:patch, severity:critical,high, epss_percentage>=0.01. Ao adaptar a ordem do funil, você e suas equipes podem se concentrar nas vulnerabilidades mais importantes para a organização, os ambientes ou as obrigações regulatórias, tornando os esforços de correção mais eficazes e alinhados às suas necessidades específicas.

1. Em GitHub, acesse a página principal da organização.

2. No nome da organização, clique em Segurança do .

   

3. Na barra lateral, em "Metrics", clique em Dependabot dashboard.

4. No canto superior direito do gráfico "Alert prioritization", clique em .

5. Na caixa de diálogo "Configure funnel order", mova os critérios conforme desejado.

6. Assim que terminar, clique em Move para salvar as alterações.