GitHub es utilizado por desarrolladores de todo el mundo para almacenar y compartir código de proyectos. Permite a los desarrolladores crear repositorios públicos y colaborar en diversos proyectos. Fundado en 2008, GitHub es un servicio basado en la nube que proporciona capacidades de alojamiento, y fue adquirido por Microsoft en 2018.
GitHub cuenta con un sistema de control de versiones que ofrece funciones como solicitudes de software, seguimiento de errores, gestión de tareas, etc. Es de código abierto, accesible y tiene más de 372 millones de repositorios. Sin embargo, los creadores de GitHub debieron haber considerado la seguridad, y a veces pueden producirse compromisos. Las contraseñas pueden ser robadas y los secretos de GitHub pueden mantenerse relativamente inseguros.
GitHub cuenta con un programa de socios de escaneo de secretos para analizar formatos de tokens secretos y buscar commits accidentales. Puede enviar los resultados de estos escaneos a proveedores de servicios en la nube para verificar endpoints. Los escaneos de GitHub también previenen el uso fraudulento de credenciales y pueden aplicarse a paquetes públicos de npm. Las organizaciones pueden escanear repositorios privados, ver y gestionar el escaneo de secretos, y más. GitHub también cuenta con un servicio de alertas de secretos que acepta webhooks de GitHub que se sabe contienen cargas útiles de mensajes de escaneo de secretos.
Esta guía cubrirá todo lo que necesita saber sobre GitHub Secret Scanning y profundizará en los detalles.
¿Qué es GitHub Secret Scanning?
GitHub Secret Scanning incluye varias funciones de seguridad que mantienen los secretos seguros dentro de las organizaciones. Algunas de estas funciones están disponibles como herramientas, mientras que las empresas que emplean soluciones avanzadas de seguridad de GitHub disfrutan de ventajas únicas.
El escaneo de secretos de GitHub extrae secretos de todo el historial de Git de todas las ramas en los repositorios de GitHub.
¿Por qué es importante GitHub Secret Scanning?
GitHub Secret Scanning es necesario porque previene posibles filtraciones de credenciales y ayuda a definir patrones regex de los desarrolladores. Todos saben que los repositorios están en riesgo de exposición de datos sensibles, y codificar secretos directamente en el código fuente es una mala práctica. Los equipos de DevOps utilizan acciones de GitHub para automatizar flujos de trabajo y desplegar aplicaciones, y cuentan con una potente función integrada llamada secretos. Permite a los usuarios almacenar y utilizar valores de forma segura dentro del código fuente, pero los expertos consideran que solo usar la herramienta no es suficiente para una seguridad adecuada.
Las herramientas de escaneo de secretos de terceros son servicios externos que proporcionan una forma segura y centralizada de gestionar y almacenar secretos en los flujos de trabajo de DevOps. Ofrecen mayor flexibilidad que los secretos de GitHub Actions y brindan funciones adicionales como mayores capacidades de almacenamiento, límites superiores, rotación de claves secretas, gestión de control de acceso, auditoría, versionado, etc.
Funciones disponibles para Secret Scanning en GitHub
- Los secretos de GitHub Actions solo son visibles para GitHub Actions y no se muestran en los registros de salida ni en las interfaces web
- GitHub Secret Scanning puede utilizarse para almacenar archivos de datos cifrados como certificados SSH y pueden actualizarse o eliminarse en cualquier momento
- Los secretos de GitHub Actions siguen políticas de seguridad y protocolos de cifrado específicos que solo los usuarios autorizados pueden ver y acceder
Sin embargo, el escáner de secretos predeterminado de GitHub tiene varias limitaciones:
- La primera es que existe un límite máximo de tamaño de 64 KB por secreto, y solo se permiten 100 secretos almacenados en los repositorios
- Una organización no puede almacenar más de 1.000 secretos y carece de funciones avanzadas de seguridad como rotación de claves secretas, auditoría, versionado, etc.
- No hay soporte entre repositorios, y las organizaciones no pueden sincronizar, compartir, organizar ni actualizar secretos simultáneamente en varios flujos de trabajo o proyectos.
¿Cómo funciona GitHub Secret Scanning?
Los usuarios pueden configurar cómo reciben alertas en tiempo real para escanear repositorios en busca de secretos filtrados. La función de escaneo de secretos de GitHub puede habilitarse para cualquier repositorio público que posean. Una vez activada, GitHub escanea cualquier secreto en todo el historial de Git de todas las ramas presentes en el repositorio de GitHub.
El escaneo de secretos funcionará para varios repositorios dentro de la misma organización. GitHub Secret Scanning ayuda a las organizaciones a prevenir el uso fraudulento de secretos y elimina la posibilidad de que se comprometan por accidente.
¿Cómo configurar GitHub Secret Scanning?
- Visite GitHub.com y navegue a la página principal del repositorio
- Haga clic en la pestaña Settings para desplegar el menú. En la sección de seguridad ubicada en la barra lateral, haga clic en Code Security and analysis
- Verifique si GitHub Advanced Security está habilitado. Si no lo está, haga clic en Enable.
- Haga clic en Enable GitHub Advanced Security para este repositorio.
- Una vez hecho esto, el escaneo de secretos se habilitará automáticamente para el repositorio público de la organización. Si hay un botón ‘Enable’ junto a la función Secret Scanning, deberá hacer clic en él. Puede desactivar el escaneo de secretos haciendo clic en el botón Disable.
- GitHub Secret Scanning también bloquea commits que contienen secretos compatibles y ofrece una función de Push Protection. Puede hacer clic en Enable para eso si desea revisar los pushes manualmente.
¿Cuáles son las mejores prácticas para GitHub Secret Scanning?
A continuación, algunas de las mejores prácticas para el escaneo de secretos en GitHub:
Priorizar nuevos secretosEs esencial revisar las credenciales recientemente enviadas antes de almacenarlas como secretos. Esto ayuda a mantener bajo el número de secretos para las organizaciones y utiliza webhooks para dirigir las notificaciones de nuevos secretos a los equipos adecuados. Los desarrolladores deben recibir documentación de capacitación adecuada y distribuirla antes de comprometer nuevos secretos. Dar seguimiento a las alertas e implementar un proceso avanzado de remediación es fundamental para cada tipo de secreto.
Abordar los secretos comprometidosEs crucial abordar los secretos comprometidos más críticos y comenzar a revisar los secretos antiguos. Después de identificar cada tipo de secreto, los desarrolladores deben definir y documentar el proceso de remediación. También deben comunicar cualquier cambio realizado a los nuevos usuarios y establecer directrices para gestionar los repositorios afectados.
Ejecutar escaneos de seguridad avanzadosPuede configurar escaneos de seguridad avanzados utilizando GitHub Enterprise Cloud. Su organización requerirá una licencia de GitHub Advanced Security y GitHub puede ejecutar automáticamente escaneos de patrones de socios en cualquier repositorio público.
Guía del comprador de la CNAPP
Aprenda todo lo que necesita saber para encontrar la plataforma de protección de aplicaciones nativas de la nube adecuada para su organización.
Guía de lecturaVentajas y desventajas de GitHub Secret Scanning
Ventajas de Git Secret Scanning
El escaneo de secretos es una función valiosa que ayuda a las organizaciones a identificar información sensible y tomar medidas para protegerla. El uso de herramientas de escaneo de secretos ayuda a las empresas a fortalecer toda su postura de seguridad en la nube. GitHub ofrece escaneo de secretos de forma gratuita en todos los repositorios públicos y colabora con proveedores de servicios en la nube para marcar credenciales filtradas a través de su programa de socios de escaneo de secretos.
Los desarrolladores de código abierto obtienen acceso gratuito a alertas sobre secretos filtrados en el código, seguimiento de cambios y pueden tomar las medidas adecuadas. GitHub también añadió protección de push para todos sus clientes de GitHub Advanced Security, a partir de abril de 2022, para escanear proactivamente secretos y prevenir filtraciones antes de que se comprometan. La protección de push para patrones personalizados se configura y aplica caso por caso.
A continuación se muestra una lista de ventajas de GitHub Secret Scanning:
- GitHub Secret Scanning es gratuito para organizaciones de todos los tamaños y otorga acceso público
- Ofrece seguridad adicional y facilita enormemente el seguimiento de todos los secretos almacenados en repositorios públicos
- El escaneo de secretos de GitHub es mucho más rápido que revisar manualmente líneas individuales de código
- Las industrias de salud, finanzas y retail pueden cifrar información sensible y garantizar el cumplimiento de las normativas y estándares correspondientes.
Desventajas de Git Secret Scanning
Las siguientes son las desventajas de GitHub Secret Scanning:
- El análisis de amenazas puede tardar demasiado
- Pueden producirse falsos positivos y falsos negativos durante la detección de secretos
- Puede ralentizar los tiempos de desarrollo
- Existe la posibilidad de fallos automáticos en las compilaciones
- Se escanean menos líneas en comparación con herramientas de escaneo de secretos de GitHub de terceros
- Errores de extracción en bases de datos y alertas en código generado
- La configuración del escaneo de secretos para patrones de socios en repositorios públicos no puede modificarse
¿Cómo ayudará SentinelOne en GitHub Secret Scanning?
Las credenciales robadas son responsables de casi la mitad de todos los ataques de ciberseguridad. GitHub ha detectado más de 1 millón de secretos filtrados en repositorios públicos y más de una docena de filtraciones accidentales cada minuto.
Las filtraciones accidentales de APIs, tokens y otros secretos aumentan el riesgo de brechas de datos en la nube, daños reputacionales y generan responsabilidades legales. El escáner de secretos predeterminado de GitHub se basa en patrones de ataque y firmas conocidos para detectar el uso indebido de credenciales. Las organizaciones realmente no tienen una forma de investigar cómo se accede a estos secretos y descuidan el factor humano.
Aquí es donde entra SentinelOne.
SentinelOne identifica configuraciones incorrectas en la nube, filtraciones de credenciales y revisa plantillas de Infraestructura como Código (IaC). Permite a los equipos de seguridad rastrear instancias no gestionadas, clústeres de Kubernetes y diversos servicios en la nube.
El CNAPP integral de SentinelOne va un paso más allá y aplica seguridad shift-left. Su motor de seguridad ofensiva identifica todos los posibles exploits y remedia vulnerabilidades desconocidas u ocultas. SentinelOne CNAPP escanea repositorios en la nube públicos y privados y protege cargas de trabajo críticas para el negocio. Ofrece automatización de seguridad que puede mejorar instantáneamente la postura de seguridad en la nube de una organización. La plataforma puede detectar más de 750 tipos diferentes de secretos y también previene filtraciones de credenciales en la nube.
Mediante una combinación de análisis estático de machine learning y análisis dinámico de comportamiento, los equipos de seguridad pueden escanear y remediar problemas con secretos en tiempo real. SentinelOne CNAPP rota las claves secretas regularmente, reduciendo así el riesgo de que los secretos se vean comprometidos. La plataforma implementa algoritmos de cifrado simétrico como AES, DES y 3DES para una protección mejorada. Purple AI es su analista de seguridad personal y acelera sus operaciones de seguridad con un plano de control unificado impulsado por IA. Reduce el tiempo medio de respuesta y agiliza las investigaciones de secretos.
Protección de cargas de trabajo en la nube impulsada por IA (CWPP) para servidores, máquinas virtuales y contenedores, que detecta y detiene amenazas en tiempo de ejecución en tiempo real.
Conclusión
Aunque GitHub Secret Scanning puede consumir muchos recursos, las organizaciones no deben pasarlo por alto. Unas buenas técnicas de escaneo de secretos en GitHub pueden ayudar a prevenir brechas de datos, proteger a los clientes y minimizar fallos operativos.
El escaneo de secretos de GitHub es un componente esencial de la seguridad en la nube y ayuda a identificar defectos en los repositorios de código. Sin herramientas de escaneo de secretos de GitHub, las entidades quedarían vulnerables, lo que podría resultar en consecuencias graves.
Preguntas frecuentes
El escaneo de secretos de GitHub implica el uso de herramientas y procesos para escanear secretos en repositorios públicos y privados. Escanea secretos en el código para detectar defectos, identifica desviaciones o cambios en la configuración y permite planificar acciones efectivas y la remediación de amenazas.
Los usuarios pueden utilizar la función predeterminada de GitHub Secret Scanning para escanear secretos en el código. Alternativamente, pueden usar una herramienta integral de escaneo de secretos de GitHub como SentinelOne para una seguridad y protección holísticas.
GitHub Secret Scanning, ofrecido por GitHub, es completamente gratuito. La herramienta de escaneo de GitHub de SentinelOne incluida con CNAPP comienza en USD 2000 por mes con el plan Starter.
El escaneo de código en GitHub es gratuito para los usuarios de GitHub por defecto. Sin embargo, puede presentar diversas limitaciones que abordan herramientas premium de pago como SentinelOne.
