什麼是 Bitbucket Secret Scanning？
掃描您的 Bitbucket secrets、消除硬編碼憑證，並定期輪替您的 secret keys。Bitbucket Secret Scanning 工具將把您的 secrets 管理提升到全新層級，並強化雲端安全措施。
Atlassian 的 Bitbucket 是業界領先的版本控制與協作平台，讓團隊能夠輕鬆在 Git 儲存庫中託管其程式碼，同時以前所未有的流暢方式簡化開發流程。
隨著程式碼部署與變更，仍存在意外暴露密碼、API 金鑰及機密憑證等敏感資訊的固有風險。Secret Scanning 在此扮演守護者角色，透過定期掃描儲存庫來偵測無意間的洩漏。
我們將帶您全面了解 Bitbucket Secret Scanning，從其核心功能到理解其重要性、成功使用它、辨識其限制，以及有效運用 SentinelOne。我們也將探討 SentinelOne 如何成為您值得信賴的網路安全合作夥伴與防護者！
什麼是 Bitbucket Secret Scanning？
Bitbucket Secret Scanning 是 Bitbucket 內建的整合功能，可在即時發生的程式碼變更中進行監控與評估。當開發人員將變更 commit 並 push 到儲存庫時，此掃描機制會分析這些資料，尋找符合 API 金鑰、OAuth 權杖或資料庫憑證的模式，並在開發人員提交變更供審查時進行偵測。
其核心在於先進的模式辨識技術。不僅僅是尋找純文字 secrets，掃描器還會使用啟發式方法、正規表示式及已知的 secret 結構，快速識別潛在暴露，並將誤判與漏判降至最低，以建立有效的偵測機制。
Bitbucket Secret Scanning 為服務與平台提供支援，可有效識別來自多個第三方服務與平台的 secrets，標記其發現的潛在 secrets，並提供如何妥善處理其暴露的工具與建議，協助開發人員快速對其程式碼庫中的暴露採取行動並有效加以保護。
為什麼 Bitbucket Secret Scanning 很重要？
在軟體開發專案中，安全性往往會讓位於功能與交付速度，然而即使只是輕微暴露敏感資訊，也可能對企業造成災難性後果，範圍從資料外洩到財務損失。以 Bitbucket Secret Scanning 作為防護措施，我們的目標是在弱點成為重大威脅之前主動偵測它們。
若沒有這類掃描機制，每一次 commit 或 push 都如同盲目射擊；您無從得知其中潛藏的暴露風險。Bitbucket 可確保這些意外洩漏立即被識別並處理，以強化程式碼安全防護層。
Bitbucket Secret Scanning 的五大重點：
- 資料安全： 透過 secret scanning，API 金鑰或資料庫憑證等敏感資訊可持續受到保護，避免未經授權的存取與潛在資料外洩。
- 遵循資料隱私法： 保護個人資料不僅是最佳實務，對許多公司而言也是法律義務。Secret scanning 可協助企業遵循資料保護法規。
- 聲譽管理： 資料外洩可能損害組織的可信度；透過主動識別並修正暴露問題，組織可以維持其品牌信譽。
- 成本效益： 在漏洞發生後才進行修復，成本可能高於事先採取如 secret scanning 等主動措施來降低風險。Secret scanning 可作為防範未來外洩的有效成本控制措施。
- 開發人員生產力： 透過對潛在弱點提供即時回饋，開發人員可以立即處理問題，而不是之後再回頭追查與除錯。
CNAPP Market Guide
Get key insights on the state of the CNAPP market in this Gartner Market Guide for Cloud-Native Application Protection Platforms.
如何使用 Bitbucket Secret Scanning？
Bitbucket Secret Scanning 是專為強化您程式碼庫保護而建置的整合式安全工具。此流程會掃描程式碼中可能敏感的內容，例如權杖、密碼與私密金鑰，這些內容可能在開發過程中意外嵌入。
一旦在新的 commit 中偵測到潛在 secrets，系統會立即發送通知——不僅通知負責人，也會通知所有與該 commit 歷史相關的人員。即使未設定郵件伺服器，Bitbucket 仍會維護一份稽核日誌來記錄偵測到的 secrets——此日誌可透過管理區段存取，並儲存為系統上的檔案。
- 自訂 Secret Scanner
- 解決已偵測到的問題
- 追蹤與監控外洩的 Secrets
- 微調並減少誤判
1. 自訂 Secret Scanner
預設情況下，Secret Scanner 會使用預先定義的模式來掃描您的儲存庫。雖然這些模式應能有效偵測大多數常見 secrets，但如有需要，仍可自訂其行為：
- 規則修改：在 System、Project 或 Repository 設定中，您可以啟用 Secret scanning，並使用正規表示式為 Line patterns 或 Path patterns 建立或修改現有規則——當兩種模式同時指定時，掃描器只會在該模式明確提及的路徑中進行搜尋。
- Allowlist 自訂：Allowlist 自訂可讓您定義 allowlists，以防止某些比對結果觸發通知；當需要略過不包含任何 secret、卻被掃描器規則誤標記的模式時，此方法特別理想。與掃描器規則相同，allowlist 規則也可視需要自訂；然而，任何在 allowlist 規則之前發生的比對，仍會優先套用掃描規則。
- 排除掃描：在全域與專案層級，您可以將特定儲存庫排除於 secret scanning 之外；來自這些儲存庫的任何新 commit 在此情況下都不會接受掃描。
2. 解決已偵測到的問題
一旦被掃描器偵測到，任何 secret 都應視為已遭洩露，並應立即在其原始平台上使其失效並進行替換。僅僅將其從 Git 歷史中移除並不足夠；任何殘留內容仍可能存在於其他分支、pull requests 或本機儲存的副本中——因此，建議直接在來源處將其撤銷，以獲得最佳效果。
若出現誤判，管理員可能希望調整掃描器設定；這可能包括修訂 regex 模式、指定特定檔案路徑進行掃描，或建立僅包含不屬於真正 secrets 之模式的 allowlists。
3. 追蹤與監控外洩的 Secrets
Bitbucket Secret Scanning 提供主動式監控解決方案，會記錄偵測到 secrets 的情況——即使未設定電子郵件伺服器，也能確保沒有任何事件被其系統忽略。
Bitbucket 透過其管理介面提供易於存取的稽核日誌，讓您可透過篩選日誌項目，輕鬆找到有關偵測到 secrets 的警示。每筆 secret 偵測記錄都會提供詳細資訊，例如節點 ID、建立者所使用的方法與 commit ID，以及其路徑或觸發偵測的特定規則等資訊。
Bitbucket 也為需要原始存取權限或需要整合監控工具的使用者，透過位於 $BITBUCKET_HOME/log/audit 的 audit.log 檔案提供原始資料存取，使每筆警示的 JSON 記錄都能輕鬆剖析，或與第三方監控工具整合，以利分析與理解。此檔案中的每個 secret 偵測事件都具有 auditType 索引鍵「Secret detected」，讓識別更加容易。
4. 微調並減少誤判
使用 Secret Scanning 的一個關鍵目標，是在警覺性與準確性之間取得平衡——既不漏掉任何真正的 secrets，同時也不讓過多誤判影響營運效率，導致注意力從更緊迫的事項上被轉移。
修改 Secret Scanning 規則：如果您的掃描器看起來過於積極或不夠準確，可以據此調整其行為。修改 regex 模式通常有助於微調其敏感度；過大的 regex 模式可能會將過多字串視為可能的 secrets，而過於積極的掃描規則也可能導致誤判。
限制掃描範圍：如果某些檔案或目錄經常產生誤判，且不構成真正的安全威脅，path patterns 可提供所需的彈性，將其排除於掃描之外。
使用 Allowlists：Allowlists 可作為極為有效的工具，用來指定哪些模式不應被視為 secret。如果某個問題持續被錯誤標記，將其加入專案或儲存庫層級的 allowlist，可確保未來不會再觸發通知。
祕密管理最佳實務
在日益互聯的數位環境中，保護敏感資料至關重要。API 金鑰、密碼和權杖等祕密在保護任何組織的營運方面都扮演關鍵角色——像 Bitbucket Secret Scanning 這類自動化工具在偵測外洩方面特別有效，而祕密管理的基礎實務則可強化安全性。
- 集中化祕密管理
- 定期輪替祕密
- 限制存取並使用角色型權限
- 實作多重要素驗證 (MFA)
- 稽核並監控祕密存取
1. 集中化祕密管理
集中化祕密管理可為組織提供一種有條理且一致的方式來處理敏感資訊。有了單一的中央真實來源，追蹤、管理及更新祕密都會變得簡單許多——可大幅降低原本可能發生的錯誤或疏漏。集中式系統提供許多經驗證有效的策略來提升安全性，例如角色型存取控制、祕密輪替排程，以及詳細的稽核日誌——這些都有助於強化祕密安全。
相對地，分散式系統在處理敏感資料時可能導致重複、疏漏與不一致。此外，隨著管理愈加分散，要在各種資訊儲存位置一致地套用安全標準也會變得愈來愈困難。
2. 定期輪替祕密
定期輪替祕密是網路安全中的重要組成部分，可協助組織確保即使一個或多個祕密遭到洩露，其有效期間與被濫用的可能性也會受到限制。輪替工具可進一步將此流程自動化，同時消除管理負擔與人為錯誤；確保祕密會定期更新，讓惡意實體即使取得存取權，也較難加以利用。
3. 限制存取並使用角色型權限
遵循 最小權限原則 (PoLP) 可大幅降低潛在的安全弱點。此策略僅授予需要存取權的人員（依其角色而定）相應的存取權。透過限制誰可以存取資訊或祕密，可大幅降低意外外洩或蓄意濫用的情況，進而顯著減少與祕密外洩或非預期第三方濫用相關的風險與弱點。
然而，僅設定權限並不足夠；應定期檢視與調整，以確保其會隨角色變更或演進而保持一致，從而消除原本可能變得脆弱的存取點，並進一步強化祕密安全。
4. 實作多重要素驗證 (MFA)
密碼驗證有時不足以保護安全性；透過加入另一層 多重要素驗證 可大幅提高這道門檻，並確保即使惡意行為者突破了最初的防線，他們仍須面對另一道驗證屏障——提供額外的安心保障與更多層防護來抵禦攻擊者。
第二層通常包含使用者所持有或具備的事物，例如手機，或是其固有特徵，例如指紋或臉部辨識。透過同時建立兩道保護屏障，若其中一項祕密遭到洩露，未經授權的人員將更難取得存取權。
5. 稽核並監控祕密存取
監控誰在何時因何原因存取了哪些祕密，可為系統健康狀況提供極具價值的洞察。定期稽核與監控祕密存取有助於識別任何異常，並提供資料外洩或敏感資訊遭濫用的早期警訊。
完善的日誌可為組織提供有效的嚇阻機制來防止異常情況，同時讓其在發生異常時能迅速採取行動。可存取的活動軌跡可讓問題與肇因者更容易被追蹤，從而更有效率地採取補救措施。此外，這些記錄的存在本身也可能嚇阻內部人員的不當行為。
祕密掃描的挑戰與限制
- 誤判與漏判
- 可擴充性問題
- 與多元環境整合
- 維護與更新
1. 誤判與漏判
誤判與漏判：與祕密掃描相關的主要挑戰之一是誤判，也就是自動化系統誤將某個物件標記為機密，但實際上並非如此。這類誤判可能導致不必要的警報響起，也會浪費調查資源，徒增處理負擔。
相對地，漏判同樣具有破壞性，因為真正的祕密在掃描過程中未被偵測到，會在長時間內造成虛假的安全感，讓您的組織暴露於遭入侵與遭攻擊者惡意利用的風險之中。
2. 可擴充性問題
隨著組織擴張，其儲存庫、專案與程式碼庫不斷增加，祕密掃描系統的可擴充能力會變得更加重要。為較小規模環境設計的系統，可能難以在資料量快速成長時維持準確結果——導致掃描時間拉長、可能發生過載，或系統停機；若成長超出效率與準確性的預期，掃描時間甚至可能比原先預估更長。
因此，祕密掃描工具在建構時必須將這些考量納入，以確保長期可靠性。
3. 與多元環境整合
現代技術環境極為多樣化，由各種平台、語言和工具組成，這些都需要彼此協同運作。確保祕密掃描工具能夠在這些不同的生態系中無縫整合，可能是一項重大挑戰；若未能做到，可能會導致掃描涵蓋範圍出現缺口，進而增加弱點風險；此外，複雜的整合會因需要定期進行維護調整以維持跨平台掃描的有效性，而增加管理負擔。
4. 維護與更新
由於技術快速演進，祕密掃描工具需要頻繁更新才能維持成效。更新可能包括因應新的程式設計實務、新興威脅或技術堆疊的變化——然而，定期執行這些更新需要資源，因為更新後可能出現影響功能的問題；組織必須掌握以不影響持續營運的方式部署更新，才能維持合規。
See SentinelOne in Action
Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.
結論
現在您已了解 BitBucket 的祕密掃描器如何運作。掃描您的祕密是維持組織安全的重要一環。它可保護使用者帳戶安全，並防止其遭對手接管。您可以使用祕密掃描器來管理來自多個第三方服務與平台的祕密。它也能協助您定期輪替祕密，並讓您的敏感認證資訊保持最新。除此之外，請實作 MFA 並使用密碼保管庫管理工具，以獲得額外的安心保障。
Bitbucket Secret Scanning 常見問題
Bitbucket secret scanning 會在每次推送程式碼時監看您的儲存庫中是否有外洩的認證資訊——API 金鑰、密碼、權杖、憑證。它使用模式比對（正規表示式、啟發式方法）來標記任何看起來像是祕密的內容。
當發生符合項目時，Bitbucket 會記錄警示並通知提交者，讓您能在這些祕密遭濫用之前採取行動。
原始碼中外洩的祕密會讓攻擊者快速進行橫向移動或提升權限。掃描可及早發現錯誤——在程式碼合併之前——因此祕密不會留存在任何具有儲存庫存取權的人都能看到的提交歷史中。這可降低外洩的影響範圍，並確保敏感認證資訊絕不會流入正式環境或備份。
Bitbucket 會使用預設與自訂規則掃描差異與完整提交。它會將內建的正規表示式與已知祕密結構套用至每一項推送的變更。當同時設定行模式與路徑模式時，它會將檢查限制在特定檔案。符合項目會觸發稽核日誌項目，並寄送電子郵件給作者、提交者與推送者。
前往 Administration → System（或 Project/Repository）→ Secret scanning，然後建立或編輯規則。您可定義名稱、行模式 regex，以及選擇性設定路徑模式 regex。您也可以設定 allowlists 以略過已知的誤判，並排除整個儲存庫。變更會立即對新的 pushes 生效。
您可以在外洩的憑證進入正式環境或備份之前先行發現。即時警示可確保開發人員快速修正問題，而稽核記錄則會保留每次偵測的紀錄。自訂規則可協助您在公開模式之外，一併找出內部權杖格式。整體而言，它能在不不必要阻礙開發人員工作流程的情況下，保障您的程式碼安全。
可以。除了預設模式之外，您還可以在全域、專案或 repo 層級新增無限制的自訂 regex 規則與 allowlists。您可決定要掃描哪些檔案路徑，以及要忽略哪些模式。這讓您能微調偵測機制，在涵蓋內部 secret 格式的同時，減少誤判。
所有偵測結果都會顯示在 Bitbucket 的 audit log ($BITBUCKET_HOME/log/audit) 以及 UI 的 audit 區段中。電子郵件通知會寄送給所有參與該 commit 的人員。管理員可在 audit log 中搜尋「secret detected」項目、匯出記錄以符合合規需求，並檢視歷史外洩事件，以確認是否已採取修復步驟（輪替或撤銷）。
預設啟用掃描，並開啟 push protection 以封鎖違規行為。定期檢閱並更新您的 regex 規則與 allowlists，以平衡涵蓋範圍與雜訊。針對任何被標記的憑證，自動化執行 secret 輪替。將掃描與 CI/CD 檢查結合，讓 pull requests 在 secrets 被移除或遮罩之前無法合併。
SentinelOne 與 Bitbucket 整合，以集中化偵測與回應。當發生 secret 比對時，SentinelOne 的 Singularity 平台會擷取該警示、將其與端點或雲端活動建立關聯，並可自動觸發修復 playbooks，例如強制執行 secret key 輪替或隔離受影響的程式碼分支，以更快控制風險。
深入了解 雲端安全
您的雲端安全——30 分鐘內完成全面評估。
與 SentinelOne 專家會面，評估您在多雲環境中的雲端安全態勢，找出雲端資產、錯誤設定、秘密掃描，並透過 Verified Exploit Paths™ 排定風險優先順序。
