GitHub запускает защиту секретов

GitHub объявил о мерах, облегчающих защиту от раскрытия секретов. Они включают в себя отдельную версию Secret Protection и сканирование в масштабах всей организации.

Анонсы являются частью GitHub Advanced Security (GHAS), решения GitHub для защиты приложений. В GHAS используется искусственный интеллект, а функции включают исправление ошибок, статический анализ, сканирование секретов и анализ состава программного обеспечения.

Движущей силой новых мер стала статистика, согласно которой только в 2024 году на GitHub произошла утечка более 39 миллионов «секретов». GitHub утверждает, что блокирует несколько секретов в минуту с помощью защиты push, но утечки секретов остаются одной из самых распространенных и предотвратимых причин инцидентов безопасности.

Под секретами в этом смысле понимаются утечка токенов, ключей API и учетных данных. GitHub утверждает, что такие секреты часто раскрываются случайно, но большое количество нарушений происходит по вине благонамеренных разработчиков, которые намеренно раскрывают секрет. По их словам, разработчики могут недооценивать риск раскрытия секретов, сообщать, делиться или хранить их таким образом, который кажется удобным в данный момент, но со временем приводит к риску.

Secret Protection и Code Security теперь представлены как самостоятельные продукты, наряду с новой расширенной системой безопасности для организаций GitHub Team, а также бесплатным сканированием секретов в масштабах всей организации, чтобы помочь командам выявить и уменьшить риск. Secret Protection и Code Security можно приобрести как отдельные продукты для предприятий, а Secret Protection также доступна бесплатно для публичных репозиториев. До сих пор небольшие команды разработчиков не могли приобрести функции безопасности GitHub, не переходя на GitHub Enterprise.

Secret Protection поставляется со встроенными политиками и возможностью настройки, поэтому организация может ограничить список пользователей или ролей, которые могут обойти заблокированный секрет с помощью делегированного обхода для защиты push. Если эта функция включена, все пользователи или роли, не включенные в список обхода, должны пройти процесс утверждения.

GitHub также предлагает оценку секретных рисков в виде сканирования с помощью механизма сканирования GitHub для организаций, охватывающего все репозитории - публичные, частные, внутренние и даже архивные. Сканирование можно выполнить без покупки продукта, и оно дает представление о том, насколько ваши секреты подвержены риску в вашей организации, а также о шагах, которые необходимо предпринять для укрепления безопасности и защиты вашего кода. Публичная предварительная версия выходит сегодня, и ее могут опробовать организации, работающие по планам GitHub Team и Enterprise.