إجراء GitHub لتحليل أسرار SecureStack

إجراء GitHub يحلل الكود المصدري الخاص بك بحثًا عن الأسرار، وبيانات الاعتماد، ومفاتيح API، وأسماء مضيفات/عناوين URL للخوادم وقواعد البيانات، والكثير غيرها! عند إضافته إلى GitHub Actions، سنحلل الكود المصدري الخاص بك لضمان عدم وجود بيانات حساسة في التزامك. انظر أدناه للأنواع المحددة من بيانات الاعتماد والملفات التي نفحصها.

name: Example SecureStack Secrets Analysis GitHub Action
on: push
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout repo for running secrets analysis within workflow
        id: checkout
        uses: actions/[email protected]
        with:
          fetch-depth: 0
      - name: Secrets Analysis Step
        id: secrets
        uses: SecureStackCo/[email protected]
        with:
          securestack_api_key: ${{ secrets.SECURESTACK_API_KEY }}
          securestack_app_id: ${{ secrets.SECURESTACK_APP_ID }}
          severity: critical
          flags: '-d 1'

ملاحظة - لفهم القيم المحتملة لإدخال الإجراء flags، شغّل SecureStack cli محليًا:

$ bloodhound-cli code --help

إنشاء مفتاح API الخاص بك في SecureStack وحفظه كسر GitHub

1. سجّل الدخول إلى SecureStack ببيانات اعتماد GitHub الخاصة بك.
2. انتقل إلى الإعدادات في الزاوية السفلية اليسرى، ثم حدد التبويب السادس: API.
3. أنشئ مفتاح API جديدًا وانسخ القيمة.
4. الآن عُد إلى GitHub، وانتقل إلى الإعدادات لمستودع GitHub الخاص بك وانقر على Secrets، ثم Actions في أسفل اليسار.
5. أنشئ سرًا جديدًا باسم SECURESTACK_API_KEY والصق القيمة من الخطوة 2 في الحقل وانقر على "إضافة سر".

استرجاع معرّف تطبيق SecureStack

1. سجّل الدخول إلى SecureStack.
2. في القائمة المنسدلة للتطبيق في أعلى اليسار، اختر التطبيق الذي تريد استخدامه وانقر على "نسخ معرّف التطبيق"
3. أنشئ سرًا جديدًا باسم SECURESTACK_APP_ID والصق القيمة من الخطوة 2 في الحقل وانقر على "إضافة سر".
4. عند الانتهاء، يجب أن يبدو سرّا GitHub هكذا

ما أنواع بيانات الاعتماد التي يجدها إجراء GitHub هذا؟

1. مفاتيح API مثل Stripe وAWS وAmplitude وغيرها الكثير
2. أسماء مضيفات أو عناوين URL للخوادم وقواعد البيانات
3. كلمات المرور وأسماء المستخدمين
4. ملفات .env وفهارس git

كيف يمكنني رؤية مخرجات تحليل الأسرار؟

1. يمكنك عرض مخرجات التحليل مباشرة في مخرجات سير عمل GitHub Action

2. يمكنك تشغيل تحليل أسرار محلي باستخدام bloodhound-cli : bloodhound-cli code -s -d 1 -a <app_id>

3. يمكنك التفاعل مع مخرجات التحليل في SecureStack SaaS

اطّلع على إجراءات GitHub الأخرى لدينا:

1. SecureStack Software Composition Analysis (SCA) - افحص تطبيقك بحثًا عن المكتبات الخارجية ومفتوحة المصدر المعرضة للخطر.
2. SecureStack SBOM - أنشئ قائمة مكونات البرمجيات (SBOM) لتطبيقك.
3. SecureStack Web Vulnerability & Cloud Misconfiguration Analysis - افحص عنوان URL لتطبيقك قيد التشغيل بحثًا عن أخطاء التكوين السحابية وثغرات الويب.
4. SecureStack Log4j Analysis - افحص تطبيقك بحثًا عن ثغرات Log4j/Log4Shell.
5. أو، All-in-One GitHub Action - لقد جمعنا جميع إجراءاتنا معًا في "إجراء واحد ليحكمها جميعًا"!

تعرّف على المزيد عن SecureStack من خلال قناتنا على YouTube:

قريبًا!

صُنع بـ 💜 بواسطة SecureStack