SEDATED

يركّز مشروع SEDATED® (Sensitive Enterprise Data Analyzer To Eliminate Disclosure) على منع دفع البيانات الحساسة مثل بيانات اعتماد المستخدمين والرموز المميزة (tokens) إلى Git.

جدول المحتويات

• الغرض
• الإعداد
  • استنساخ SEDATED® محليًا
  • تحديث ملفات .example
  • تخصيص متغيرات ودوال /config/custom_configs.sh (حسب الرغبة)
  • دفع SEDATED® مع تنفيذ خاص بالمؤسسة
  • توجيه خطاف pre-receive إلى ملف pre-receive.sh الخاص بـ SEDATED®
• الاختبار المحلي
• وصف الملفات
  • pre-receive.sh
  • /config/custom_configs.sh
  • /config/enforced_repos_list.txt
  • /config/regexes.json
  • /config/whitelists/commit_whitelist.txt
  • /config/whitelists/repo_whitelist.txt
  • /testing/regex_testing/regex_test_script.sh
  • /testing/regex_testing/test_cases.txt
• التخصيص
  • المتغيرات المخصصة
  • الدوال المخصصة
• التوافق
  • GitHub
  • GitLab
  • Git
  • أي أداة Git SCM أخرى
• المساهمة
• المؤلفون
• الترخيص

الغرض

مع العدد الهائل من تغييرات التعليمات البرمجية المطلوبة في بيئة CICD اليوم، يدفع المطورون باستمرار تعليمات برمجية قد تحتوي عن غير قصد على معلومات حساسة. ويمثل هذا الاحتمال لتعرض البيانات الحساسة خطرًا كبيرًا على المؤسسات (2017 OWASP Top Ten #3 - Sensitive Data Exposure). يعالج SEDATED® هذه المشكلة عبر مراجعة جميع تغييرات التعليمات البرمجية الواردة تلقائيًا وتقديم تغذية راجعة فورية للمطور. وإذا حدد بيانات حساسة، فسيمنع دفع الالتزام (الالتزامات) إلى خادم Git.

**ملاحظة: فقط الأسطر المُضافة أو المعدَّلة (التي تبدأ بـ + في ملف التصحيح) في عمليات دفع الالتزامات هي ما يفحصه SEDATED®. أما الأسطر التي تتم إزالتها (التي تبدأ بـ - في ملف التصحيح) في عمليات دفع الالتزامات، لا يفحصها SEDATED®.

الإعداد

1. استنساخ SEDATED® محليًا

git clone https://github.com/OWASP/SEDATED.git

cd SEDATED/

2. تحديث ملفات .example

cp /config/whitelists/commit_whitelist.txt.example /config/whitelists/commit_whitelist.txt

cp /config/whitelists/repo_whitelist.txt.example /config/whitelists/repo_whitelist.txt

cp /config/enforced_repos_list.txt.example /config/enforced_repos_list.txt

3. تخصيص متغيرات ودوال /config/custom_configs.sh (حسب الرغبة)

4. دفع SEDATED® مع تنفيذ خاص بالمؤسسة

ادفع التنفيذ الخاص بمؤسستك من SEDATED® إلى مستودع Git الذي تريده المؤسسة (GitHub أو GitLab أو Git أو غير ذلك...).

5. توجيه خطاف pre-receive إلى ملف pre-receive.sh الخاص بـ SEDATED®

يمكن العثور على إرشادات تنفيذ ذلك على مثيل GitHub Enterprise في GitHub_Enterprise_Setup.md.

الاختبار المحلي

• إعداد GitHub Docker - إرشادات عامة لإعداد حاوية GitHub docker لتعمل كخادم Git مع تمكين خطاف pre-receive لأغراض الاختبار المحلي.
  • سيلزم إجراء بعض التعديلات للسماح لـ SEDATED® بالعمل كما هو مصمم.
    • يجب استبدال always_reject.sh بنص pre-receive.sh البرمجي الخاص بـ SEDATED®.
    • يجب تضمين بنية الملفات/المجلدات المصاحبة لـ SEDATED® في نفس الدليل/أن تكون متاحة لنص pre-receive.sh البرمجي.
    • قد تكون هناك حاجة أيضًا إلى بعض التعديلات الإضافية، لكن الإرشادات المرتبطة أعلاه تُعد نقطة انطلاق جيدة للاختبار المحلي.