GitHub Secret Scanning: Bedeutung und Best Practices

GitHub Secret Scanning erkennt und meldet die Offenlegung sensibler Daten wie API-Schlüssel und Anmeldedaten in Ihren Code-Repositorys. Verwenden Sie es, um Ihre Geheimnisse zu schützen, sichere und konforme Entwicklungspraktiken zu gewährleisten und das Risiko von Datenverletzungen und unbefugtem Zugriff zu verringern.

GitHub wird von Entwicklern weltweit zum Speichern und Teilen von Projektcode verwendet. Es ermöglicht Entwicklern, öffentliche Repositorys zu erstellen und an verschiedenen Projekten zusammenzuarbeiten. GitHub wurde 2008 gegründet und ist ein cloudbasierter Dienst, der Hosting-Funktionen bereitstellt. 2018 wurde GitHub von Microsoft übernommen.

GitHub verfügt über ein Versionskontrollsystem, das Funktionen wie die Ausgabe von Softwareanfragen, Bug-Tracking, Aufgabenverwaltung usw. bietet. Es ist quelloffen, zugänglich und verfügt über mehr als 372 Millionen Repositorys. Die Entwickler von GitHub hätten jedoch die Sicherheit berücksichtigen müssen, und manchmal kann es zu Kompromissen kommen. Passwörter können gestohlen werden, und GitHub-Geheimnisse können relativ unsicher aufbewahrt werden.

GitHub verfügt über ein Partnerprogramm zum Scannen von Geheimnissen, um geheime Token-Formate zu analysieren und nach versehentlichen Commits zu suchen. Die Ergebnisse dieser Scans können an Cloud-Dienstanbieter gesendet werden, um Endpunkte zu überprüfen. GitHub-Scans verhindern auch die betrügerische Verwendung von Anmeldedaten und können auf öffentliche npm-Pakete angewendet werden. Organisationen können private Repositorys scannen, geheime Scans anzeigen und verwalten und vieles mehr. GitHub verfügt auch über einen geheimen Alarmdienst, der Webhooks von GitHub akzeptiert, von denen bekannt ist, dass sie geheime Scan-Nachrichten-Payloads enthalten.

Dieser Leitfaden behandelt alles, was Sie über GitHub Secret Scanning wissen müssen, und geht dabei detailliert auf die einzelnen Aspekte ein.

Was ist GitHub Secret Scanning?

GitHub Secret Scanning umfasst verschiedene Sicherheitsfunktionen, die Geheimnisse innerhalb von Organisationen schützen. Einige dieser Funktionen sind als Tools verfügbar, während Unternehmen, die die fortschrittlichen Sicherheitslösungen von GitHub einsetzen, von einzigartigen Vorteilen profitieren.

GitHub Secret Scanning extrahiert Geheimnisse aus der gesamten Git-Historie aller Branches in GitHub-Repositorys.

Warum ist GitHub Secret Scanning wichtig?

GitHub Secret Scanning ist notwendig, da es potenzielle Lecks von Anmeldedaten verhindert und dabei hilft, die Regex-Muster von Entwicklern zu definieren. Jeder weiß, dass Repositorys dem Risiko der Offenlegung sensibler Daten ausgesetzt sind und dass es schlecht ist, Geheimnisse fest in den Quellcode zu schreiben. DevOps-Teams verwenden GitHub-Aktionen, um Workflows zu automatisieren und Anwendungen bereitzustellen, und verfügen über eine leistungsstarke integrierte Funktion namens "Secrets". Damit können Benutzer Werte sicher im Quellcode speichern und verwenden, aber Experten sind der Meinung, dass für eine angemessene Sicherheit mehr als nur die Verwendung des Tools erforderlich ist.

Geheimnis-Scan-Tools von Drittanbietern sind externe Dienste, die eine sichere und zentralisierte Möglichkeit zur Verwaltung und Speicherung von Geheimnissen in DevOps Workflows. Sie bieten eine größere Flexibilität als GitHub Actions-Geheimnisse und zusätzliche Funktionen wie größere Speicherkapazitäten, höhere Speicherlimits, Rotation geheimer Schlüssel, Zugriffskontrollverwaltung, Auditing, Versionierung usw.

Verfügbare Funktionen für das Scannen geheimer Schlüssel in GitHub

• GitHub Actions-Geheimnisse sind nur für GitHub Actions sichtbar und werden nicht in den Ausgabeprotokollen oder Webschnittstellen angezeigt
• GitHub Secret Scanning kann zum Speichern verschlüsselter Datendateien wie SSH-Zertifikate verwendet werden und kann jederzeit aktualisiert oder gelöscht werden
• GitHub Actions Secrets unterliegen bestimmten Sicherheitsrichtlinien und Verschlüsselungsprotokollen, sodass nur autorisierte Benutzer sie anzeigen und darauf zugreifen können

Der standardmäßige GitHub Secret Scanner weist jedoch verschiedene Einschränkungen auf:

• Erstens gibt es eine maximale Größenbeschränkung von 64 KB pro Geheimnis, und es dürfen nur 100 Geheimnisse in Repositorys gespeichert werden.
• Eine Organisation kann nicht mehr als 1.000 Geheimnisse speichern und verfügt nicht über erweiterte Sicherheitsfunktionen wie Geheimschlüsselrotation, Auditing, Versionierung usw. usw.
• Es gibt keine Unterstützung für mehrere Repositorys, und Organisationen können Geheimnisse nicht gleichzeitig über mehrere Workflows oder Projekte hinweg synchronisieren, freigeben, organisieren oder aktualisieren.

Wie funktioniert GitHub Secret Scanning?

Benutzer können konfigurieren, wie sie Echtzeit-Benachrichtigungen zum Scannen von Repositorys auf durchgesickerte Geheimnisse erhalten. Die GitHub-Geheimnis-Scan-Funktion kann für jedes öffentliche Repository aktiviert werden, das sie besitzen. Sobald sie aktiviert ist, scannt GitHub alle Geheimnisse in der gesamten Git-Historie für alle Zweige, die im GitHub-Repository vorhanden sind.

Der Geheimnis-Scan funktioniert für mehrere Repositorys innerhalb derselben Organisation. Die GitHub-Geheimnis-Scan-Funktion hilft Organisationen, die betrügerische Verwendung von Geheimnissen zu verhindern und verhindert, dass diese versehentlich committet werden.

Wie konfiguriert man die GitHub-Geheimnis-Scan-Funktion?

1. Besuchen Sie GitHub.com und navigieren Sie zur Hauptseite des Repositorys
2. Klicken Sie auf die Registerkarte Einstellungen, um ein Dropdown-Menü zu öffnen. Klicken Sie im Sicherheitsbereich in der Seitenleiste auf Code-Sicherheit und -Analyse
3. Überprüfen Sie, ob GitHub Advanced Security aktiviert ist. Ist dies nicht der Fall, klicken Sie auf "Aktivieren".
4. Klicken Sie auf "GitHub Advanced Security für dieses Repository aktivieren".
5. Anschließend wird das Scannen geheimer Daten automatisch für das öffentliche Repository der Organisation aktiviert. Wenn neben der Funktion "Geheimnis-Scan" eine Schaltfläche "Aktivieren" angezeigt wird, müssen Sie darauf klicken. Sie können den Geheimnis-Scan deaktivieren, indem Sie auf die Schaltfläche "Deaktivieren" klicken.
6. Der GitHub-Geheimnis-Scan blockiert auch Commits, die unterstützte Geheimnisse enthalten, und bietet eine Funktion namens "Push-Schutz"Push Protection. Sie können auf Enable klicken, wenn Sie Pushes manuell überprüfen möchten.

Was sind die Best Practices für GitHub Secret Scanning?

Hier sind einige der Best Practices für das Scannen von GitHub-Geheimnissen:

1. Priorisieren Sie neue Geheimnisse

Es ist wichtig, kürzlich übermittelte Anmeldedaten zu überprüfen, bevor sie in Geheimnissen gespeichert werden. Dies trägt dazu bei, die Anzahl der Geheimnisse für Unternehmen gering zu halten, und verwendet Webhooks, um Benachrichtigungen über neue Geheimnisse an die richtigen Teams weiterzuleiten. Entwickler sollten angemessene Schulungsunterlagen erhalten und diese verteilen, bevor sie neue Geheimnisse festschreiben. Die Nachverfolgung von Warnmeldungen und die Implementierung eines fortschrittlichen Korrekturprozesses sind für jeden Geheimnistyp von entscheidender Bedeutung.

2. Behandlung festgelegter Geheimnisse

Es ist entscheidend, die kritischsten festgelegten Geheimnisse zu behandeln und mit der Überprüfung älterer Geheimnisse zu beginnen. Nach der Identifizierung jedes Geheimnistyps sollten Entwickler den Korrekturprozess definieren und dokumentieren. Außerdem sollten sie neue Benutzer über alle vorgenommenen Änderungen informieren und Richtlinien für die Verwaltung der betroffenen Repositorys festlegen.

3. Erweiterte Sicherheitsscans durchführen

Sie können erweiterte Sicherheitsscans mit GitHub Enterprise Cloud einrichten. Ihre Organisation benötigt eine GitHub Advanced Security-Lizenz, und GitHub kann automatisch Partner-Musterscans für jedes öffentliche Repository durchführen.

Vor- und Nachteile von GitHub Secret Scanning

Vorteile von Git Secret Scanning

Secret Scanning ist eine wertvolle Funktion, die Unternehmen dabei hilft, sensible Informationen zu identifizieren und Maßnahmen zu ihrem Schutz zu ergreifen. Der Einsatz von Secret-Scanning-Tools unterstützt Unternehmen dabei, ihre gesamte Cloud-Sicherheit zu verbessern. GitHub bietet Secret Scanning kostenlos für alle öffentlichen Repositorys an und arbeitet mit Cloud-basierten Dienstleistern zusammen, um über sein Secret-Scanning-Partnerprogramm geleakte Anmeldedaten zu kennzeichnen.

Open-Source-Entwickler erhalten kostenlosen Zugriff auf Warnmeldungen zu in Code enthaltenen Geheimnissen, können Änderungen verfolgen und geeignete Maßnahmen ergreifen. GitHub hat außerdem für alle Kunden von GitHub Advanced Security ab April 2022 einen Push-Schutz hinzugefügt, um Geheimnisse proaktiv zu scannen und Lecks zu verhindern, bevor sie festgeschrieben werden. Der Push-Schutz für benutzerdefinierte Muster wird für jedes Muster einzeln konfiguriert und angewendet.

Nachfolgend finden Sie eine Liste der Vorteile von GitHub Secret Scanning:

• GitHub Secret Scanning ist für Unternehmen jeder Größe kostenlos und gewährt öffentlichen Zugriff
• Es bietet zusätzliche Sicherheit und macht es äußerst bequem, alle in öffentlichen Repositorys gespeicherten Geheimnisse im Blick zu behalten.
• GitHub Secret Scanning ist viel schneller als die manuelle Überprüfung einzelner Codezeilen.
• Unternehmen aus den Bereichen Gesundheitswesen, Finanzen und Einzelhandel können sensible Informationen verschlüsseln und die Einhaltung der relevanten Standards und Vorschriften sicherstellen.

Nachteile des Git-Geheimnis-Scannings

Im Folgenden sind die Nachteile des GitHub-Geheimnis-Scannings aufgeführt:

• Die Bedrohungsanalyse kann zu lange dauern
• Bei der Erkennung von Geheimnissen können Fehlalarme und falsche Negativmeldungen auftreten
• Kann die Entwicklungszeiten verlangsamen
• Es besteht die Möglichkeit automatischer Build-Fehler
• Im Vergleich zu GitHub-Tools von Drittanbietern zum Scannen geheimer Daten werden weniger Zeilen gescannt
• Extraktionsfehler in Datenbanken und Warnmeldungen in generiertem Code
• Die Konfiguration des Scannens geheimer Daten für Partnermuster in öffentlichen Repositorys kann nicht geändert werden

Wie hilft SentinelOne beim Scannen geheimer Daten in GitHub?

Gestohlene Anmeldedaten sind für fast die Hälfte aller Cybersicherheitsangriffe verantwortlich. GitHub hat über 1 Million geleakte Geheimnisse in öffentlichen Repositorys und mehr als ein Dutzend versehentliche Lecks pro Minute entdeckt.

Versehentliche Lecks von APIs, Tokens und anderen Geheimnissen erhöhen das Risiko von Cloud-Datenverletzungen, Reputationsschäden und verursachen rechtliche Haftungsrisiken. Der standardmäßige GitHub Secret Scanner stützt sich auf bekannte Angriffsmuster und Signaturen, um den Missbrauch von Anmeldedaten zu erkennen. Unternehmen haben keine Möglichkeit, zu untersuchen, wie auf diese Geheimnisse zugegriffen wird, und vernachlässigen dabei den menschlichen Faktor.

Hier kommt SentinelOne ins Spiel.

SentinelOne identifiziert Fehlkonfigurationen in der Cloud, Lecks von Anmeldedaten und überprüft Infrastructure-as-Code-Vorlagen (IaC). Damit können Sicherheitsteams nicht verwaltete Instanzen, Kubernetes-Cluster und verschiedene Cloud-Dienste aufspüren.

Die umfassende CNAPP-Lösung von SentinelOne geht noch einen Schritt weiter und setzt auf Shift-Left-Sicherheit. Seine Offensive Security Engine identifiziert alle potenziellen Exploits und behebt unbekannte oder versteckte Schwachstellen. SentinelOne CNAPP scannt öffentliche und private Cloud-Repositorys und sichert geschäftskritische Workloads. Es bietet Sicherheitsautomatisierung, die die Cloud-Sicherheit eines Unternehmens sofort verbessern kann. Die Plattform kann über 750 verschiedene Arten von Geheimnissen erkennen und verhindert außerdem das Durchsickern von Cloud-Anmeldedaten. Durch die Kombination von statischer maschinellem Lernen und dynamischer Verhaltensanalyse können Sicherheitsteams Probleme mit Geheimnissen in Echtzeit scannen und beheben. SentinelOne CNAPP wechselt regelmäßig geheime Schlüssel und reduziert so das Risiko, dass Geheimnisse kompromittiert werden. Die Plattform implementiert symmetrische Verschlüsselungsalgorithmen wie AES, DES und 3DES für einen verbesserten Schutz. Purple AI ist Ihr persönlicher Sicherheitsanalyst und beschleunigt Ihre SecOps mit einer einheitlichen, KI-gestützten Steuerungsebene. Es reduziert die durchschnittliche Reaktionszeit und optimiert die Untersuchung geheimer Informationen.

Fazit

Obwohl GitHub Secret Scanning viele Ressourcen verbrauchen kann, müssen Unternehmen darauf achten. Gute GitHub Secret Scanning-Techniken können dazu beitragen, Datenverletzungen zu verhindern, Kunden zu schützen und Betriebsausfälle zu minimieren.

GitHub Secret Scanning ist eine wesentliche Cloud-Sicherheitskomponente und hilft dabei, Fehler in Code-Repositorys zu identifizieren. Ohne GitHub Secret Scanning-Tools wären Unternehmen angreifbar, was schwerwiegende Folgen haben könnte.

"

FAQs

Was ist GitHub Secret Scanning?

Beim GitHub Secret Scanning werden Tools und Prozesse zum Scannen von Geheimnissen in öffentlichen und privaten Repositorys verwendet. Es scannt Geheimnisse im Code auf Fehler, erkennt Konfigurationsabweichungen oder -änderungen und erstellt Pläne für wirksame Maßnahmen und die Behebung von Bedrohungen.

Wie scanne ich nach Geheimnissen im Code in GitHub?

Benutzer können die standardmäßige GitHub-Geheimnisscanfunktion verwenden, um Code-Geheimnisse zu scannen. Alternativ können sie ein umfassendes GitHub-Geheimnisscan-Tool wie SentinelOne für ganzheitliche Sicherheit und Schutz verwenden.

Wie viel kostet das Scannen nach Geheimnissen auf GitHub?

GitHub Secret Scanning, angeboten von GitHub, ist völlig kostenlos. Das in CNAPP enthaltene SentinelOne GitHub Scanning-Tool ist ab 2000 USD pro Monat mit dem Starter-Plan erhältlich.

Ist das Scannen von GitHub-Code kostenlos?

GitHub Code Scanning ist für GitHub-Benutzer standardmäßig kostenlos. Es kann jedoch verschiedene Einschränkungen geben, die durch kostenpflichtige Premium-Tools wie SentinelOne behoben werden können.