Erstellen einer benutzerdefinierten Sicherheitskonfiguration

Informationen zum custom security configurations

Mit custom security configurations, können Sie Sammlungen von Aktivierungseinstellungen für die Sicherheitsprodukte erstellen GitHub, um die spezifischen Sicherheitsanforderungen Ihrer Organisation zu erfüllen. Sie können beispielsweise für jede Organisation oder Gruppe von Organisationen eine andere custom security configuration erstellen, um ihre eindeutigen Sicherheitsanforderungen und Complianceverpflichtungen widerzuspiegeln.

Sie können auch auswählen, ob Sie eine Konfiguration einbeziehen GitHub Code Security oder GitHub Secret Protection nicht möchten.

Wenn Sie dies tun, sollten Sie bedenken, dass diese Features Nutzungskosten (oder Lizenzen erfordern) bei Der Anwendung auf private und interne Repositorys anfallen GitHub Advanced Security . Weitere Informationen finden Sie unter Informationen zu GitHub Advanced Security.

          >[!IMPORTANT]
          > Die Reihenfolge und die Namen einiger Einstellungen unterscheiden sich je nachdem, ob du Lizenzen für das ursprüngliche GitHub Advanced Security-Produkt oder für die beiden neuen Produkte verwendest: GitHub Code Security und GitHub Secret Protection. Siehe [Erstellen einer GitHub Advanced Security Konfiguration](#creating-a-github-advanced-security-configuration) oder [Erstellen einer Secret Protection and Code Security Konfiguration](#creating-a-secret-protection-and-code-security-configuration).

Erstellen einer Secret Protection and Code Security Konfiguration

1. Klicke in der rechten oberen Ecke von GitHub auf dein Profilbild und dann auf Your organizations.

2. Klicke unter dem Organisationsnamen auf Settings. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.

   

3. Wählen Sie im Abschnitt "Sicherheit" der Randleiste das Advanced Security Dropdownmenü aus, und klicken Sie dann auf "Konfigurationen".

4. Klicken Sie im Abschnitt "Security configurations" auf "Neue Konfiguration".

5. Um Gruppen von Sicherheitsfeatures für Ihre Repositorys zu konfigurieren, klicken Sie auf "Benutzerdefinierte Konfiguration".

6. Um Ihren custom security configuration Zweck auf der Seite "Security configurations" zu identifizieren und zu klären, benennen Sie Ihre Konfiguration, und erstellen Sie eine Beschreibung.

7. Aktivieren Sie optional "Secret Protection", ein kostenpflichtiges Feature für private Repositorys. Aktivieren aktiviert Secret Protection Warnungen für secret scanning. Darüber hinaus können Sie auswählen, ob die vorhandenen Einstellungen für die folgenden secret scanning Features aktiviert, deaktiviert oder beibehalten werden sollen: * Gültigkeitsprüfungen. Weitere Informationen zu Gültigkeitsprüfungen für Partnermuster finden Sie unter Bewerten von Warnungen aus dem Secret-Scanning. * Erweiterte Metadaten. Weitere Informationen zu erweiterten Metadatenüberprüfungen finden Sie unter "Informationen zu erweiterten Metadatenüberprüfungen und Bewerten von Warnungen aus dem Secret-Scanning".

   Hinweis

   Sie können erweiterte Metadatenüberprüfungen nur aktivieren, wenn Gültigkeitsprüfungen aktiviert sind.

   •     **Nicht-Anbieter-Muster**. Weitere Informationen zum Scannen nach Nicht-Anbietermustern finden Sie unter [AUTOTITLE](/code-security/secret-scanning/introduction/supported-secret-scanning-patterns#non-provider-patterns) und [AUTOTITLE](/code-security/secret-scanning/managing-alerts-from-secret-scanning/viewing-alerts).
     

   •     **Scan für generische Kennwörter**. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/secret-scanning/copilot-secret-scanning/responsible-ai-generic-secrets).
     

   •     **Push-Schutz**. Informationen zum Pushschutz finden Sie unter [AUTOTITLE](/code-security/secret-scanning/introduction/about-push-protection).
     

   •     **Bypass-Privilegien**. Durch Zuweisen von Umgehungsberechtigungen oder Ausnahmen können ausgewählte Akteure den Pushschutz umgehen oder überspringen. Es gibt einen Überprüfungs- und Genehmigungsprozess für alle anderen Mitwirkenden. Siehe [AUTOTITLE](/code-security/secret-scanning/using-advanced-secret-scanning-and-push-protection-features/delegated-bypass-for-push-protection/about-delegated-bypass-for-push-protection).
     

   •     **Verhindern von direkten Warnhinweisen**. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/secret-scanning/using-advanced-secret-scanning-and-push-protection-features/enabling-delegated-alert-dismissal-for-secret-scanning).
     

8. Aktivieren Sie optional "Code Security", ein kostenpflichtiges Feature für private Repositorys. Sie können auswählen, ob die vorhandenen Einstellungen für die folgenden code scanning Features aktiviert, deaktiviert oder beibehalten werden sollen: * Standardeinrichtung. Weitere Informationen zum Standardsetup findest du unter Konfigurieren des Standardsetups für das Code-Scanning.

•      **Runner Typ**. Wenn Sie bestimmte Läufer code scanningals Ziel festlegen möchten, können Sie in diesem Schritt benutzerdefinierte beschriftete Läufer verwenden. Siehe [AUTOTITLE](/code-security/code-scanning/enabling-code-scanning/configuring-default-setup-for-code-scanning#assigning-labels-to-runners). 
  

* 

          **Verhindern von direkten Warnhinweisen**. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/code-scanning/managing-your-code-scanning-configuration/enabling-delegated-alert-dismissal-for-code-scanning).

1. Wählen Sie weiterhin unter "Code Security" in der Tabelle "Abhängigkeitsscan" aus, ob Sie die vorhandenen Einstellungen für die folgenden Abhängigkeitsscanfeatures aktivieren, deaktivieren oder beibehalten möchten: * Abhängigkeitsdiagramm Weitere Informationen zum Abhängigkeitsdiagramm findest du unter Informationen zum Abhängigkeitsdiagramm.

   Tipp

   Wenn sowohl "Code Security" als auch Abhängigkeitsdiagramm aktiviert sind, aktiviert dies die Abhängigkeitsüberprüfung, siehe Informationen zur Abhängigkeitsüberprüfung.

   •      **Automatische Übermittlung von Abhängigkeiten**. Informationen zur automatischen Abhängigkeitsübermittlung finden Sie unter [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-automatic-dependency-submission-for-your-repository).
     

   •      **
          Dependabot Warnungen**. Weitere Informationen Dependabotfinden Sie unter [AUTOTITLE](/code-security/dependabot/dependabot-alerts/about-dependabot-alerts).
     

   •      **Sicherheitsupdates**. Weitere Informationen zu Sicherheitsupdates finden Sie unter [AUTOTITLE](/code-security/dependabot/dependabot-security-updates/about-dependabot-security-updates).
     

   •      **Verhindern von direkten Warnhinweisen**. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/dependabot/dependabot-alerts/enable-delegated-alert-dismissal).
     

   •      **
          Malware alerts
          **. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/concepts/supply-chain-security/dependabot-malware-alerts).
     

2. Du kannst auswählen, ob du die vorhandenen Einstellungen für „Private vulnerability reporting“ aktivieren, deaktivieren oder beibehalten möchtest. Informationen zur Berichterstellung zu privaten Sicherheitsrisiken finden Sie unter Konfigurieren der Meldung privater Sicherheitsrisiken für ein Repository.

3. Optional kannst du im Abschnitt „Policy“ steuern, wie die Konfiguration angewendet werden soll: * Als Standard für neu erstellte Repositories verwenden. Wählen Sie das Dropdownmenü "Keine" aus, und klicken Sie dann auf "Öffentlich", " Privat" und "Intern" oder auf "Alle Repositorys".

   Hinweis

   Die Standardeinstellung security configuration für eine Organisation wird nur automatisch auf neue Repositorys angewendet, die in deiner Organisation erstellt werden. Wenn ein Repository in Ihre Organisation übertragen wird, müssen Sie immer noch eine entsprechende security configuration manuell auf das Repository anwenden.

   •      **Konfiguration erzwingen**. Hindere Repositorybesitzer daran, Features zu ändern, die in der Konfiguration aktiviert oder deaktiviert wurden (nicht festgelegte Features werden nicht erzwungen). Wähle im Dropdownmenü die Option **Enforce** aus.
     

   Hinweis

   In einigen Fällen kann die Erzwingung von security configurations unterbrochen werden. Weitere Informationen findest du unter Erzwingung der Sicherheitskonfiguration.

4. Klicken Sie auf "custom security configuration, um die Erstellung abzuschließen****.

Erstellen einer GitHub Advanced Security Konfiguration

1. Klicke in der rechten oberen Ecke von GitHub auf dein Profilbild und dann auf Your organizations.

2. Klicke unter dem Organisationsnamen auf Settings. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.

   

3. Wählen Sie im Abschnitt "Sicherheit" der Randleiste das Advanced Security Dropdownmenü aus, und klicken Sie dann auf "Konfigurationen".

4. Klicke im Bereich „Sicherheitskonfigurationen“ auf Neue Konfiguration.

5. Um Ihren custom security configuration Zweck auf der Seite "Neue Konfiguration" zu identifizieren und zu verdeutlichen, benennen Sie Ihre Konfiguration, und erstellen Sie eine Beschreibung.

6. Wählen Sie in der Zeile "GitHub Advanced Security Features" aus, ob Features (GHAS) eingeschlossen oder ausgeschlossen GitHub Advanced Security werden sollen.

7. Wählen Sie in der Tabelle "Secret scanning" aus, ob Sie die vorhandenen Einstellungen für die folgenden Sicherheitsfeatures aktivieren, deaktivieren oder beibehalten möchten: * Gültigkeitsprüfungen. Weitere Informationen zu Gültigkeitsprüfungen für Partnermuster finden Sie unter Bewerten von Warnungen aus dem Secret-Scanning. * Nicht-Anbieter-Muster. Weitere Informationen zum Scannen nach Nicht-Anbietermustern finden Sie unter Unterstützte Scanmuster für Secrets und Anzeigen und Filtern von Warnungen aus der Secrets-Überprüfung. * Scan für generische Kennwörter. Weitere Informationen finden Sie unter Verantwortungsvolle Erkennung von generischen Geheimnissen mit Copilot Secret Scanning. * Push-Schutz. Informationen zum Pushschutz finden Sie unter Informationen zum Pushschutz. * Bypass-Privilegien. Durch Zuweisen von Umgehungsberechtigungen oder Ausnahmen können ausgewählte Akteure den Pushschutz umgehen oder überspringen. Es gibt einen Überprüfungs- und Genehmigungsprozess für alle anderen Mitwirkenden. Siehe Info zur delegierten Umgehung für den Pushschutz. * Verhindern von direkten Warnhinweisen. Weitere Informationen finden Sie unter Aktivieren des delegierten Schließens von Warnungen für die Geheimnisüberprüfung.

8. Wählen Sie in der Tabelle "Code scanning" aus, ob Sie die vorhandenen Einstellungen für code scanning die Standardeinrichtung aktivieren, deaktivieren oder beibehalten möchten. * Standardeinrichtung. Weitere Informationen zum Standardsetup findest du unter Konfigurieren des Standardsetups für das Code-Scanning.

•      **Runner Typ**. Wenn Sie bestimmte Läufer code scanningals Ziel festlegen möchten, können Sie in diesem Schritt benutzerdefinierte beschriftete Läufer verwenden. Siehe [AUTOTITLE](/code-security/code-scanning/enabling-code-scanning/configuring-default-setup-for-code-scanning#assigning-labels-to-runners). 
  

* 

          **Verhindern von direkten Warnhinweisen**. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/code-scanning/managing-your-code-scanning-configuration/enabling-delegated-alert-dismissal-for-code-scanning).

1. Wähle in der Tabelle „Scannen von Abhängigkeiten“ aus, ob du die bestehenden Einstellungen für die folgenden Funktionen des Scannens von Abhängigkeiten aktivieren, deaktivieren oder beibehalten möchtest: * Abhängigkeitsdiagramm Weitere Informationen zum Abhängigkeitsdiagramm findest du unter Informationen zum Abhängigkeitsdiagramm.

   Tipp

   Wenn sowohl "GitHub Advanced Security" als auch Abhängigkeitsdiagramm aktiviert sind, aktiviert dies die Abhängigkeitsüberprüfung, siehe Informationen zur Abhängigkeitsüberprüfung.

   •      **Automatische Übermittlung von Abhängigkeiten**. Informationen zur automatischen Abhängigkeitsübermittlung finden Sie unter [AUTOTITLE](/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-automatic-dependency-submission-for-your-repository).
     

   •      **
          Dependabot Warnungen**. Weitere Informationen Dependabotfinden Sie unter [AUTOTITLE](/code-security/dependabot/dependabot-alerts/about-dependabot-alerts).
     

   •      **Sicherheitsupdates**. Weitere Informationen zu Sicherheitsupdates finden Sie unter [AUTOTITLE](/code-security/dependabot/dependabot-security-updates/about-dependabot-security-updates).
     

   •      **Verhindern von direkten Warnhinweisen**. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/dependabot/dependabot-alerts/enable-delegated-alert-dismissal).
     

   •      **
          Malware alerts
          **. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/concepts/supply-chain-security/dependabot-malware-alerts).
     

2. Du kannst auswählen, ob du die vorhandenen Einstellungen für „Private vulnerability reporting“ aktivieren, deaktivieren oder beibehalten möchtest. Informationen zur Berichterstellung zu privaten Sicherheitsrisiken finden Sie unter Konfigurieren der Meldung privater Sicherheitsrisiken für ein Repository.

3. Optional kannst du im Abschnitt „Policy“ steuern, wie die Konfiguration angewendet werden soll: * Als Standard für neu erstellte Repositories verwenden. Wählen Sie das Dropdownmenü "Keine" aus, und klicken Sie dann auf "Öffentlich", " Privat" und "Intern" oder auf "Alle Repositorys".

   Hinweis

   Die Standardeinstellung security configuration für eine Organisation wird nur automatisch auf neue Repositorys angewendet, die in deiner Organisation erstellt werden. Wenn ein Repository in Ihre Organisation übertragen wird, müssen Sie immer noch eine entsprechende security configuration manuell auf das Repository anwenden.

   •      **Konfiguration erzwingen**. Hindere Repositorybesitzer daran, Features zu ändern, die in der Konfiguration aktiviert oder deaktiviert wurden (nicht festgelegte Features werden nicht erzwungen). Wähle im Dropdownmenü die Option **Enforce** aus.
     

4. Klicken Sie auf "custom security configuration, um die Erstellung abzuschließen****.

Nächste Schritte

Informationen zum Anwenden Ihrer custom security configuration Repositorys in Ihrer Organisation finden Sie unter Anwenden einer benutzerdefinierten Sicherheitskonfiguration.

Informationen zum Bearbeiten deiner custom security configuration findest du unter Bearbeiten einer angepassten Sicherheitskonfiguration.