فينيفيرا - مراقبة التسريبات الداخلية على جيثب

أداة مراقبة جيثب 🤖

لقد كنا نستخدم فينيفيرا في الإنتاج منذ ديسمبر 2019 وقد ساعدنا في منع حوادث أمنية. بدأت فينيفيرا كمشروع داخلي لضمان النظافة الأمنية لمساهماتنا العامة ومراقبة التسريبات المحتملة على جيثب. نعتقد أن هذا سيساعد الشركات الأخرى على تعزيز نظافتها الأمنية عندما يتعلق الأمر بالمصادر العامة مثل جيثب.

ما هي فينيفيرا؟

تسمح فينيفيرا للشركات/المؤسسات بمراقبة الأصول العامة للعثور على مراجع لتسريبات الكود الداخلي والانتهاكات المحتملة. قد يقوم المطورون أحيانًا بتسريب الكود الداخلي وبيانات الاعتماد عن طريق الخطأ. تهدف فينيفيرا إلى مساعدة الشركات على اكتشاف تلك الانتهاكات في الوقت المناسب والاستجابة للحادث.

كيف تعمل؟

• تعمل فينيفيرا عن طريق مزامنة مستخدمي المؤسسة.
• لكل مستخدم، يتم تسجيل جميع الأصول العامة (إذا لم تكن مراقبة بالفعل).
• ثم يتم فحص كل أصل (مستودع، Gist) بحثًا عن أي اختلافات.
• ثم يتم فحص كل اختلاف وتخزينه والإبلاغ عنه (إذا كان يحتوي على أي تسريبات)

ماذا يعني الاسم؟

أثناء تطوير الأداة وإنشائها، استهلك فريق الأمن الكثير من العنب، لذلك قمنا بتسميتها على اسم الفاكهة التي نحبها :) فينيفيرا مستوحاة من الاسم الثنائي للعنب

الإعداد والاستخدام.

المتطلبات

تتطلب فينيفيرا تثبيت الأدوات التالية:

1. PostgreSQL
2. Redis
3. Docker
4. Ruby (Install via rbenv/rvm )

الإعداد

رمز الوصول لجيثب

لمسح أعضاء مؤسستك، تتطلب فينيفيرا رمزًا لديه القدرة على قراءة أعضاء المؤسسة.

قم بإنشاء رمز جديد https://github.com/settings/tokens/new بدون نطاق خاص

سترغب في استخدام رمز مستخدم مسؤول (بدون نطاق خاص)، حيث يمكن للمسؤول سرد جميع مستخدمي المؤسسة.

https://docs.github.com/en/rest/reference/orgs#list-organization-members

إذا كان المستخدم المصادق عليه أيضًا عضوًا في هذه المؤسسة، فسيتم إرجاع كل من الأعضاء المخفيين والعامين.

Docker

• إعادة تسمية .docker_env.example إلى .docker_env

mv .docker_env.example .docker_env

• تحديث .docker_env بالمتغيرات المطلوبة

GITHUB_ACCESS_TOKEN=<REDACTED>
VINIFERA_ORG_NAME=<Your_org_name>

RAILS_MAX_THREADS=60 # This also controls DB pool

RAILS_MASTER_KEY=<ADD_YOUR_MASTER_KEY_HERE>

# set the environment
RAILS_ENV=<development|production>

# set the following if RAILS_ENV is set to production
SECRET_KEY_BASE=<YOUR_SECRET_KEY> # min 32 bits key is allowed

# add slack incoming webhook URLs for respective slack channels
SLACK_UPDATES_GROUP_URL=https://hooks.slack.com/services/<YOUR_CONFIG_HERE>
SLACK_TARGETS_GROUP_URL=https://hooks.slack.com/services/<YOUR_CONFIG_HERE>
SLACK_USER_TRACKING_GROUP_URL=https://hooks.slack.com/services/<YOUR_CONFIG_HERE>
SLACK_VINIFERA_VIOLATION_GROUP_URL=https://hooks.slack.com/services/<YOUR_CONFIG_HERE>
SLACK_ERROR_GROUP_URL=https://hooks.slack.com/services/<YOUR_CONFIG_HERE>

# By default fork and big fork scanning is disabled
VINIFERA_ENABLE_FORK_SCANNING=false
VINIFERA_ENABLE_BIG_FORK_SCANNING=false

• بناء

docker-compose build

• تشغيل

docker-compose up

• إعادة البناء بعد أي تغييرات

docker-compose up --build

• مزامنة مستخدمي مؤسسة جيثب

docker exec -it vinifera_sidekiq bundle exec rake periodic_syncs:sync_github_users

أوامر Docker Compose كمرجع

يدوي

• تثبيت التبعيات المطلوبة

cd <location_of_cloned_repo>
bundle install

• إعداد قاعدة البيانات والترحيلات

bundle exec rails db:create
bundle exec rails db:migrate

• إعداد متغيرات البيئة وSlack WebHook

ملف env النموذجي متاح في .example_env

GITHUB_ACCESS_TOKEN=<REDACTED>
VINIFERA_ORG_NAME=<Your_org_name> # Name of org for which token was generated.

VINIFERA_DATABASE_HOST=<localhost>
VINIFERA_DATABASE_PASSWORD=<YOUR_PASSWORD>

RAILS_MAX_THREADS=60 # This also controls DB pool

RAILS_MASTER_KEY=<REDACTED>


SLACK_UPDATES_GROUP_URL=https://hooks.slack.com/services/<YOUR_CONFIG_HERE>
SLACK_TARGETS_GROUP_URL=https://hooks.slack.com/services/<YOUR_CONFIG_HERE>
SLACK_USER_TRACKING_GROUP_URL=https://hooks.slack.com/services/<YOUR_CONFIG_HERE>
SLACK_VINIFERA_VIOLATION_GROUP_URL=https://hooks.slack.com/services/<YOUR_CONFIG_HERE>
SLACK_ERROR_GROUP_URL=https://hooks.slack.com/services/<YOUR_CONFIG_HERE>



# Add this only if you are using Docker over TLS, recommended way, if, on the same host as vinifera, you may skip it

DOCKER_CLIENT_CERT_PATH=/home/deployer/.docker
DOCKER_HOST=tcp://<IP>:<PORT>

# By default fork and big fork scanning is disabled
VINIFERA_ENABLE_FORK_SCANNING=false
VINIFERA_ENABLE_BIG_FORK_SCANNING=false

REDIS_URL=redis://<REDIS_URI>
SIDEKIQ_REDIS_URL=redis://<REDIS_URI>

# For PagerDuty Integration
DEFAULT_PD_INTEGRATION_KEY=<xxxxxxxx>
ENABLE_PAGER_DUTY_TRIGGER=true

• إعداد وظائف Cron

bundle exec whenever --update-crontab

• إعداد قواعد toml المخصصة لـ Gitleaks. لمزيد من المعلومات

[[rules]]
# Insert your rules here
# description = "Internal References"
# regex = '''(?i)((.*)<COMPANY_INTERNAL_REFERENCES>(.*))'''
# tags = ["internal", "company","references"]

• بدء Sidekiq

bundle exec sidekiq

Datadog

بالإضافة إلى ذلك، للحصول على المقاييس على Datadog كما في لقطة الشاشة أعلاه، يمكنك استخدام وكيل DataDog - https://docs.datadoghq.com/agent/

PagerDuty

لضمان عدم تفويت الفريق لأي انتهاك، يتوفر خيار التكامل مع PagerDuty:

للتكامل مع PagerDuty، يجب تعيين متغير البيئة التالي إلى true

ENABLE_PAGER_DUTY_TRIGGER=true

ثم قم بإنشاء خدمة جديدة ومفتاح تكامل كما هو موضح في الوثيقة التالية - https://support.pagerduty.com/docs/services-and-integrations#create-a-new-service

DEFAULT_PD_INTEGRATION_KEY=<xxxxxxxx>

المساهمة

نحن منفتحون للمساهمات/إصلاح الأخطاء/تحسينات الأداء في مشروعنا :)

التبرعات

إذا كنت تقدر الأداة التي بنيناها، فلا تتردد في المساهمة/التبرع للمشاريع التي بنيت فينيفيرا على قمتها :)

تم بناء فينيفيرا فوق برامج مفتوحة المصدر أخرى:

1. Rails (إطار الويب المفضل لدينا)
2. Sidekiq (يتولى دورة حياة المهام، الجدولة، وإعادة المحاولة)
3. Gitleaks (Gitleaks تدير فحص الكود عبر صور Docker)
4. Docker (لتشغيل عمليات الفحص في بيئة معزولة)
5. Docker-api (عميل Ruby للتفاعل مع API Docker عن بُعد)
6. Sidekiq Throttled (لتقييد سرعة العاملين)
7. Octokit (مجموعة أدوات Ruby لـ GitHub API)
8. Whenever (مهام Cron في Ruby)

.... (ستستمر القائمة ...، فهمت الفكرة ;) )

يمكنك أيضًا التبرع لـ Feeding India

إخلاء مسؤولية

لا تتحمل Zomato ولا مطورو هذه الأداة أي مسؤولية عن أي ضرر يسببه هذه الأداة أو استخدامها. استخدم بمسؤولية. راجع LICENSE لمزيد من التفاصيل.

الترخيص

فينيفيرا مرخصة بموجب رخصة Apache، الإصدار 2.0. انظر LICENSE لنص الترخيص الكامل.