1.1GitHub Security スイートとアーキテクチャ

GitHub の高度なセキュリティ（GHAS: GitHub Advanced Security）は、ソフトウェア開発ライフサイクル（SDLC）全体で コード・シークレット・依存関係 を守る機能群です。GH-500 ではまず、これらが 3 つの柱 に整理されることを理解します——コードの脆弱性を見つける Code Security、漏洩した秘密を見つける/防ぐ Secret Protection、依存パッケージのリスクを扱う サプライチェーンセキュリティ です。

1.1.13 つの柱の違い

Code Security（code scanning／CodeQL を束ねた製品）は、ソースコードを静的解析して SQL インジェクションやパストラバーサルなどの 脆弱性 を検出します。Secret Protection（secret scanning／Push Protection を束ねた製品）は、APIキーやトークンなど コミットされた/されようとする秘密 を検出・ブロックします。サプライチェーンセキュリティ（依存グラフ/Dependabot/Dependency Review。有償機能は Code Security に含む）は、依存パッケージの 既知の脆弱性 を依存関係グラフや Dependabot で見つけ、更新を促します。3 つは対象（自分のコード／秘密／他者の依存）が異なり、組み合わせて多層的に守ります。

1.1.2公開リポジトリと Enterprise の可用性

機能の 可用性 は環境で異なります。公開（public）リポジトリ では、Code Scanning や secret scanning など多くの機能が 無料 で使えます。一方、プライベートリポジトリや Enterprise で全機能を使うには Secret Protection / Code Security のライセンス（2025年に GHAS から分離した個別製品）が必要です。試験では「公開なら無料、プライベート/Enterprise はライセンスが要る」という線引きと、Enterprise Cloud と Enterprise Server で機能差がある点が問われます。

1.1.3Security Overview

Security Overview は、組織やリポジトリ全体の セキュリティ状態を一望 できるダッシュボードです。どのリポジトリで機能が有効か、未対応のアラートがどれだけあるか、リスクの傾向などを集約して表示し、優先順位付け と カバレッジ確認 に役立ちます。管理者やセキュリティ担当が「どこから手を付けるか」を判断する起点になります。

1.1.4この節のまとめ

• 3 つの柱＝Code Security（自分のコード）/Secret Protection（秘密）/サプライチェーン（依存）
• 可用性：公開リポは多くが無料、プライベート/Enterprise は GHAS ライセンス。Cloud と Server で差
• Security Overview で組織横断の状態を一望し優先順位付け
• 製品が束ねる機能：Secret Protection＝secret scanning/Push Protection、Code Security＝code scanning/CodeQL、サプライチェーン＝依存グラフ/Dependabot/Dependency Review（機能名は現行のまま）