SEDATED

Das SEDATED®-Projekt (Sensitive Enterprise Data Analyzer To Eliminate Disclosure) zielt darauf ab, zu verhindern, dass vertrauliche Daten wie Benutzeranmeldeinformationen und Tokens in Git gepusht werden.

Inhaltsverzeichnis

• Zweck
• Einrichtung
  • SEDATED® klonen
  • .example-Dateien aktualisieren
  • Variablen und Funktionen in /config/custom_configs.sh anpassen (nach Wunsch)
  • SEDATED® mit organisationsspezifischer Implementierung pushen
  • Pre-Receive-Hook auf SEDATED®'s pre-receive.sh verweisen
• Lokales Testen
• Dateibeschreibungen
  • pre-receive.sh
  • /config/custom_configs.sh
  • /config/enforced_repos_list.txt
  • /config/regexes.json
  • /config/whitelists/commit_whitelist.txt
  • /config/whitelists/repo_whitelist.txt
  • /testing/regex_testing/regex_test_script.sh
  • /testing/regex_testing/test_cases.txt
• Anpassung
  • Benutzerdefinierte Variablen
  • Benutzerdefinierte Funktionen
• Kompatibilität
  • GitHub
  • GitLab
  • Git
  • Jedes andere Git-SCM-Tool
• Mitwirken
• Autoren
• Lizenz

Zweck

Angesichts der Vielzahl von Codeänderungen, die in der heutigen CICD-Umgebung erforderlich sind, pushen Entwickler ständig Code, der unbeabsichtigt vertrauliche Informationen enthalten könnte. Diese potenzielle Offenlegung sensibler Daten stellt ein enormes Risiko für Organisationen dar (2017 OWASP Top Ten #3 – Sensitive Data Exposure). SEDATED® behebt dieses Problem, indem es alle eingehenden Codeänderungen automatisch überprüft und dem Entwickler sofort Rückmeldung gibt. Wenn sensible Daten erkannt werden, wird verhindert, dass der oder die Commits an den Git-Server gepusht werden.

**HINWEIS: NUR Zeilen, die in Commit-Pushes hinzugefügt oder geändert werden (beginnend mit + in der Patch-Datei), werden von SEDATED® gescannt. Zeilen, die in Commit-Pushes entfernt werden (beginnend mit - in der Patch-Datei), werden NICHT von SEDATED® gescannt.

Einrichtung

1. SEDATED® klonen

git clone https://github.com/OWASP/SEDATED.git

cd SEDATED/

2. .example-Dateien aktualisieren

cp /config/whitelists/commit_whitelist.txt.example /config/whitelists/commit_whitelist.txt

cp /config/whitelists/repo_whitelist.txt.example /config/whitelists/repo_whitelist.txt

cp /config/enforced_repos_list.txt.example /config/enforced_repos_list.txt

3. Variablen und Funktionen in /config/custom_configs.sh anpassen (nach Wunsch)

4. SEDATED® mit organisationsspezifischer Implementierung pushen

Schieben Sie die organisationsspezifische Implementierung von SEDATED® in das gewünschte Git-Repository der Organisation (GitHub, GitLab, Git usw.)

5. Pre-Receive-Hook auf SEDATED®'s pre-receive.sh verweisen

Anleitungen dazu für eine GitHub Enterprise-Instanz finden Sie in GitHub_Enterprise_Setup.md.

Lokales Testen

• GitHub Docker Setup – Allgemeine Anleitung zum Einrichten eines GitHub-Docker-Containers als Git-Server mit aktiviertem Pre-Receive-Hook für lokale Tests.
  • Es müssen einige Anpassungen vorgenommen werden, damit SEDATED® wie vorgesehen funktioniert.
    • always_reject.sh muss durch das SEDATED®-Skript pre-receive.sh ersetzt werden.
    • Die zugehörigen Dateien/Ordnerstruktur von SEDATED® müssen im selben Verzeichnis liegen bzw. für das Skript pre-receive.sh zugänglich sein.
    • Möglicherweise sind auch einige zusätzliche Anpassungen erforderlich. Die oben verlinkte Anleitung ist jedoch ein guter Ausgangspunkt für lokale Tests.