Action GitHub d'analyse des secrets SecureStack

Une action GitHub qui analyse votre code source à la recherche de secrets, d'identifiants, de clés API, de noms d'hôtes/URL de serveurs et de bases de données, et bien plus encore ! Lorsque vous l'ajoutez à GitHub Actions, nous analysons votre code source pour vous assurer qu'aucune donnée sensible ne se trouve dans votre commit. Voir ci-dessous les types spécifiques d'identifiants et de fichiers que nous analysons.

name: Example SecureStack Secrets Analysis GitHub Action
on: push
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout repo for running secrets analysis within workflow
        id: checkout
        uses: actions/[email protected]
        with:
          fetch-depth: 0
      - name: Secrets Analysis Step
        id: secrets
        uses: SecureStackCo/[email protected]
        with:
          securestack_api_key: ${{ secrets.SECURESTACK_API_KEY }}
          securestack_app_id: ${{ secrets.SECURESTACK_APP_ID }}
          severity: critical
          flags: '-d 1'

REMARQUE - pour comprendre les valeurs possibles pour le paramètre d'action flags, exécutez la CLI SecureStack localement :

$ bloodhound-cli code --help

Créez votre clé API SecureStack et enregistrez-la en tant que secret GitHub

1. Connectez-vous à SecureStack avec vos identifiants GitHub.
2. Allez dans Settings en bas à gauche, puis sélectionnez le 6e onglet : API.
3. Générez une nouvelle clé API et copiez la valeur.
4. Revenez maintenant sur GitHub, accédez aux Settings de votre dépôt GitHub, cliquez sur Secrets, puis sur Actions en bas à gauche.
5. Créez un nouveau secret nommé SECURESTACK_API_KEY, collez la valeur de l'étape 2 dans le champ et cliquez sur "Add secret".

Récupération de votre identifiant d'application SecureStack

1. Connectez-vous à SecureStack.
2. Dans le menu déroulant des applications en haut à gauche, choisissez l'application que vous souhaitez utiliser et cliquez sur "Copy Application ID"
3. Créez un nouveau secret nommé SECURESTACK_APP_ID, collez la valeur de l'étape 2 dans le champ et cliquez sur "Add secret".
4. Une fois terminé, les deux secrets GitHub devraient ressembler à ceci

Quels types d'identifiants cette action GitHub détecte-t-elle ?

1. Les clés API comme Stripe, AWS, Amplitude et une multitude d'autres
2. Les noms d'hôtes ou URL de serveurs et de bases de données
3. Les mots de passe et noms d'utilisateur
4. Les fichiers .env et les index git

Comment puis-je voir les résultats de l'analyse des secrets ?

1. Vous pouvez voir les résultats de l'analyse directement dans la sortie du workflow GitHub Action

2. Vous pouvez exécuter une analyse de secrets localement avec notre bloodhound-cli : bloodhound-cli code -s -d 1 -a <app_id>

3. Vous pouvez interagir avec les résultats de l'analyse dans la plateforme SaaS SecureStack

Découvrez nos autres actions GitHub :

1. SecureStack Software Composition Analysis (SCA) - Analysez votre application à la recherche de bibliothèques open source et tierces vulnérables.
2. SecureStack SBOM - Créez une nomenclature logicielle (SBOM) pour votre application.
3. SecureStack Web Vulnerability & Cloud Misconfiguration Analysis - Analysez l'URL de votre application en cours d'exécution pour détecter les erreurs de configuration cloud et les vulnérabilités web.
4. SecureStack Log4j Analysis - Analysez votre application pour détecter les vulnérabilités Log4j/Log4Shell.
5. Ou notre All-in-One GitHub Action - Nous avons regroupé toutes nos actions dans une seule "Action pour toutes les gouverner" !

En savoir plus sur SecureStack avec notre chaîne YouTube :

Bientôt disponible !

Fait avec 💜 par SecureStack