Ultralyticsセキュリティポリシー#
Ultralyticsでは、ユーザーのデータとシステムのセキュリティを最重要事項としています。オープンソースプロジェクトの安全性とセキュリティを確保するため、セキュリティ脆弱性を検出・防止するための複数の対策を実施しています。
Snykスキャン#
Snykを使用して、Ultralyticsのリポジトリに対する包括的なセキュリティスキャンを実施しています。Snykの強力なスキャン機能は依存関係のチェックにとどまらず、コードやDockerfileも検査し、さまざまな脆弱性を検出します。これらの問題を事前に特定して対処することで、ユーザーにより高いレベルのセキュリティと信頼性を提供しています。
GitHub CodeQLスキャン#
セキュリティ戦略には、GitHubのCodeQLスキャンが含まれています。CodeQLはコードの意味構造を分析し、SQLインジェクションやXSSなどの複雑な脆弱性を特定するため、コードベースを詳細に検査します。この高度な分析により、潜在的なセキュリティリスクを早期に検出して解決できます。
GitHub Dependabotアラート#
Dependabotをワークフローに統合し、既知の脆弱性がないか依存関係を監視しています。依存関係の1つに脆弱性が特定されると、Dependabotが通知するため、迅速かつ適切な修正対応が可能になります。
GitHubシークレットスキャンアラート#
GitHubのシークレットスキャンアラートを使用して、認証情報や秘密鍵など、誤ってリポジトリにプッシュされた機密データを検出しています。この早期検出メカニズムにより、潜在的なセキュリティ侵害やデータ漏えいの防止に役立てています。
非公開の脆弱性報告#
非公開の脆弱性報告を有効にしており、ユーザーが潜在的なセキュリティ問題を非公開で報告できるようにしています。この方法により、責任ある開示が促進され、脆弱性を安全かつ効率的に処理できます。
いずれかのリポジトリでセキュリティ脆弱性の疑いがある場合、または発見した場合は、直ちにお知らせください。お問い合わせフォームまたはsecurity@ultralytics.comから直接ご連絡いただけます。セキュリティチームが調査し、可能な限り速やかに対応します。
すべてのUltralyticsオープンソースプロジェクトを、誰にとっても安全かつセキュアに保つためのご協力に感謝します。
FAQ#
Ultralyticsは、ユーザーのデータとシステムを保護するため、包括的なセキュリティ戦略を採用しています。主な対策は次のとおりです。
- Snykスキャン：コードとDockerfileの脆弱性を検出するためにセキュリティスキャンを実施します。
- GitHub CodeQL：コードの意味を分析し、SQLインジェクションなどの複雑な脆弱性を検出します。
- Dependabotアラート：既知の脆弱性がないか依存関係を監視し、迅速な修正対応のためにアラートを送信します。
- シークレットスキャン：認証情報や秘密鍵などの機密データをコードリポジトリ内で検出し、データ漏えいを防止します。
- 非公開の脆弱性報告：ユーザーが潜在的なセキュリティ問題を非公開で報告できる安全な窓口を提供します。
これらのツールにより、セキュリティ問題を事前に特定して解決し、システム全体のセキュリティを強化できます。詳細については上記の各セクションをご覧いただくか、ご質問があればセキュリティチームまでお問い合わせください。
Ultralyticsは、Snykを使用してリポジトリの徹底的なセキュリティスキャンを実施しています。Snykは基本的な依存関係チェックにとどまらず、コードやDockerfileを検査してさまざまな脆弱性を検出します。潜在的なセキュリティ問題を事前に特定して解決することで、SnykはUltralyticsのオープンソースプロジェクトの安全性と信頼性の維持に役立っています。
Snykバッジを確認し、その導入について詳しく知るには、Snykスキャンのセクションをご覧ください。
CodeQLは、GitHubを介してUltralyticsのワークフローに統合されたセキュリティ分析ツールです。コードベースを詳細に検査し、SQLインジェクションやクロスサイトスクリプティング (XSS)などの複雑な脆弱性を特定します。CodeQLはコードの意味構造を分析して高度なセキュリティ分析を実現し、潜在的なリスクの早期検出と緩和を可能にします。
CodeQLの使用方法について詳しくは、GitHub CodeQLスキャンのセクションをご覧ください。
Dependabotは、既知の脆弱性がないか依存関係を監視・管理する自動化ツールです。DependabotがUltralyticsプロジェクトの依存関係にある脆弱性を検出すると、アラートを送信するため、チームは問題に迅速に対処して緩和できます。これにより、依存関係の安全性と最新性が維持され、潜在的なセキュリティリスクを最小限に抑えられます。
詳細については、GitHub Dependabotアラートのセクションをご覧ください。
Ultralyticsは、ユーザーに非公開の窓口を通じて潜在的なセキュリティ問題を報告するよう推奨しています。ユーザーは、お問い合わせフォームまたはsecurity@ultralytics.comへのメールで、脆弱性を非公開で報告できます。これにより、責任ある開示が実現し、セキュリティチームが脆弱性を安全かつ効率的に調査・対処できます。
非公開の脆弱性報告について詳しくは、非公開の脆弱性報告のセクションをご覧ください。