Mitigated в GitHub code scanning: как закрыть alert без подмены исправления компенсирующим контролем. Для одного alert собрать threat scenario, границу компенсирующего контроля, тест его действия, owner и дату пересмотра; только после ревью выбрать Mitigated и дать конкретный комментарий без секретов. Практический результат — Матрица «alert × exploit.
1. Зафиксируйте точный симптом и границу ответа
Команда внедрила сетевой или операционный контроль, но код с уязвимостью не изменён; новая dismissal reason Mitigated не должна превращаться в способ скрыть alert без доказательств. Рабочая граница материала — именно запрос «когда использовать mitigated как dismissal reason в github code scanning и как сохранить доказательства компенсирующего контроля». До любого действия запишите версию, один наблюдаемый симптом, время и ожидаемый результат. Не переносите вывод на другую версию, роль, операционную систему или соседний продукт без повторной сверки. Новостная карточка или форумное обсуждение могут быть лишь lead: они не доказывают причину, охват или популярность.
2. Отделите свежее событие от технического доказательства
20 августа 2026 года GitHub добавил dismissal reason Mitigated для code scanning alerts; 28 августа объявление и справка по resolving alerts сверены, чтобы отделить новый лейбл от доказанного снижения риска. Первый источник фиксирует: Официальный GitHub Changelog от 20 августа 2026 года объявляет dismissal reason Mitigated для code scanning alerts как способ отметить снижение риска вне исправления кода; страница не утверждает, что любой внешний контроль достаточен. Второй официальный контракт уточняет: Официальная GitHub Docs описывает права, dismissal workflow, reasons и комментарии при resolving code scanning alerts; это даёт контракт состояния и аудита, но не заменяет техническое доказательство компенсирующего контроля. Из этих двух текстов не следует, что любой похожий симптом вызван тем же механизмом. Дата, версия, область действия и оговорки источника остаются частью ответа.
3. Проведите один обратимый контрольный тест
Для одного alert собрать threat scenario, границу компенсирующего контроля, тест его действия, owner и дату пересмотра; только после ревью выбрать Mitigated и дать конкретный комментарий без секретов. До теста сохраните исходное значение или копию только затрагиваемого объекта, заранее определите признак успеха, отрицательный исход и команду возврата. Меняйте ровно один фактор и повторяйте тот же контрольный вход. Не сбрасывайте профиль, не удаляйте данные, не отключайте защиту и не подменяйте сетевой маршрут ради удобного результата.
4. Прочитайте матрицу исходов без подмены причины
Матрица «alert × exploit path × control × evidence × owner × review date», повторяемый негативный тест, ссылка на внутренний ticket без чувствительных данных и критерий возврата alert в active при отказе контроля. Ветки разделяют fixed in code, false positive, won't fix и mitigated: у них разные факты, сроки и владельцы, поэтому один комментарий не может обслуживать все причины. В каждой ячейке записывайте только наблюдаемый факт, а не предполагаемую причину. Если симптом исчез, это подтверждает границу контрольного теста, но не универсальную причину для всех конфигураций. Если результат неоднозначен, верните исходное состояние и соберите минимальный воспроизводимый пример.
5. Остановитесь до необратимого шага и эскалируйте минимум
Не закрывать alert как Mitigated без проверенного control, owner и даты ревью; не включать в комментарий токены, полные логи или схему защиты, которая сама создаёт риск. Для поддержки соберите версию продукта, время с timezone, один обезличенный код ошибки или статус, один контрольный шаг и его результат. Удалите имена, email, IP, account IDs, tokens, ключи, полные конфиги и приватные ссылки. Красные флаги для немедленной остановки: потеря данных, секрета или доступа, влияние на несвязанных пользователей, отсутствие копии или невозможность возврата.
Материал подготовлен редакцией VOne с помощью ИИ; технические утверждения постатейно сверены с указанными официальными и первичными источниками 28 августа 2026 года.
Источники и проверка
- GitHub code scanning Mitigated reason проверено 2026-08-28
- Resolving GitHub code scanning alerts проверено 2026-08-28
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.