4.1Code Security のアプローチと設定

Code Security（製品名。コード解析の機能は code scanning／CodeQL）は、ソースコードを 静的解析（SAST） して脆弱性を見つけます。中核エンジンが CodeQL で、コードを データベース化 し、クエリ で「危険なデータの流れ（dataflow）」を探します。GitHub 純正の CodeQL に加え、サードパーティの解析ツール の結果も取り込めます。

4.1.1CodeQL とサードパーティ・SARIF

CodeQL は GitHub 純正で、多言語に対応し、強力な データフロー解析 で脆弱性を検出します。一方、組織が既存の サードパーティ SAST を使っている場合や、CodeQL 非対応の言語/観点を補いたい場合は、サードパーティツールの結果を取り込めます。その共通フォーマットが SARIF（Static Analysis Results Interchange Format） です。サードパーティツールが出力した SARIF を GitHub に アップロード すると、Code Scanning アラートとして 同じ UI で一元管理 できます。「CodeQL を使うか、サードパーティを SARIF で取り込むか」を要件で選びます。

4.1.2有効化 — Actions と外部 CI

Code Scanning は主に 2 通りで動かします。
①GitHub Actions のワークフロー（CodeQL のスターター/ワークフローテンプレート）で実行する方法——最も手軽で、デフォルトセットアップ なら数クリックで有効化できます。
②外部 CI システム で CodeQL CLI（や他ツール）を走らせ、結果（SARIF）をアップロードする方法。多言語リポでは マトリックスビルド で言語ごとに並列スキャンします。スキャン頻度 は、push/PR ごと・定期（schedule）など、コストと鮮度のバランスで設定します。

4.1.3この節のまとめ

• Code Security＝CodeQL（純正・データフロー解析の SAST）。サードパーティ結果は SARIF で取り込み一元管理
• 有効化：GitHub Actions（デフォルトセットアップ/テンプレート）か 外部 CI で CodeQL CLI→SARIF
• 多言語は matrix ビルドで並列、スキャン頻度は push/PR・定期で調整
• CodeQL とサードパーティは SARIF で共存可能、SARIF は交換フォーマット