SEDATED

El proyecto SEDATED® (Sensitive Enterprise Data Analyzer To Eliminate Disclosure) se centra en evitar que datos sensibles, como credenciales de usuario y tokens, se envíen a Git.

Tabla de contenidos

• Propósito
• Configuración
  • Clonar SEDATED®
  • Actualizar los archivos .example
  • Personalizar las variables y funciones de /config/custom_configs.sh (según se desee)
  • Enviar SEDATED® con la implementación específica de la organización
  • Apuntar el hook pre-receive al archivo pre-receive.sh de SEDATED®
• Pruebas locales
• Descripción de archivos
  • pre-receive.sh
  • /config/custom_configs.sh
  • /config/enforced_repos_list.txt
  • /config/regexes.json
  • /config/whitelists/commit_whitelist.txt
  • /config/whitelists/repo_whitelist.txt
  • /testing/regex_testing/regex_test_script.sh
  • /testing/regex_testing/test_cases.txt
• Personalización
  • Variables personalizadas
  • Funciones personalizadas
• Compatibilidad
  • GitHub
  • GitLab
  • Git
  • Cualquier otra herramienta Git SCM
• Contribuir
• Autores
• Licencia

Propósito

Con la gran cantidad de cambios de código necesarios en el entorno CICD actual, los desarrolladores están constantemente enviando código que podría contener información sensible de forma involuntaria. Esta posible exposición de datos sensibles representa un gran riesgo para las organizaciones (2017 OWASP Top Ten #3 - Sensitive Data Exposure). SEDATED® aborda este problema revisando automáticamente todos los cambios de código entrantes y proporcionando retroalimentación inmediata al desarrollador. Si identifica datos sensibles, evitará que los commit(s) se envíen al servidor Git.

**NOTA: SOLO las líneas que se añaden o modifican (que comienzan con + en el archivo patch) en los pushes de commits son escaneadas por SEDATED®. Las líneas que se eliminan (que comienzan con - en el archivo patch) en los pushes de commits NO son escaneadas por SEDATED®.

Configuración

1. Clonar SEDATED®

git clone https://github.com/OWASP/SEDATED.git

cd SEDATED/

2. Actualizar los archivos .example

cp /config/whitelists/commit_whitelist.txt.example /config/whitelists/commit_whitelist.txt

cp /config/whitelists/repo_whitelist.txt.example /config/whitelists/repo_whitelist.txt

cp /config/enforced_repos_list.txt.example /config/enforced_repos_list.txt

3. Personalizar las variables y funciones de /config/custom_configs.sh (según se desee)

4. Enviar SEDATED® con la implementación específica de la organización

Enviar la implementación específica de la organización de SEDATED® al repositorio Git deseado por la organización (GitHub, GitLab, Git, etc...).

5. Apuntar el hook pre-receive al archivo pre-receive.sh de SEDATED®

Las instrucciones para lograr esto en una instancia de GitHub Enterprise se pueden encontrar en GitHub_Enterprise_Setup.md.

Pruebas locales

• GitHub Docker Setup - Instrucciones generales para configurar un contenedor Docker de GitHub que actúe como servidor Git con un hook pre-receive habilitado para pruebas locales.
  • Será necesario realizar algunas modificaciones para permitir que SEDATED® funcione según lo diseñado.
    • always_reject.sh deberá reemplazarse con el script pre-receive.sh de SEDATED®.
    • Los archivos/estructura de carpetas adjuntos de SEDATED® deberán incluirse en el mismo directorio/ser accesibles por el script pre-receive.sh.
    • También pueden ser necesarios algunos ajustes adicionales, pero las instrucciones enlazadas arriba son un buen punto de partida para las pruebas locales.