SEDATED

Le projet SEDATED® (Sensitive Enterprise Data Analyzer To Eliminate Disclosure) se concentre sur la prévention des fuites de données sensibles, telles que les identifiants utilisateur et les jetons, vers Git.

Table des matières

• Objectif
• Configuration
  • Cloner SEDATED®
  • Mettre à jour les fichiers .example
  • Personnaliser les variables et fonctions de /config/custom_configs.sh (au besoin)
  • Pousser SEDATED® avec une implémentation propre à l'organisation
  • Pointer le hook pre-receive vers le fichier pre-receive.sh de SEDATED®
• Tests locaux
• Descriptions des fichiers
  • pre-receive.sh
  • /config/custom_configs.sh
  • /config/enforced_repos_list.txt
  • /config/regexes.json
  • /config/whitelists/commit_whitelist.txt
  • /config/whitelists/repo_whitelist.txt
  • /testing/regex_testing/regex_test_script.sh
  • /testing/regex_testing/test_cases.txt
• Personnalisation
  • Variables personnalisées
  • Fonctions personnalisées
• Compatibilité
  • GitHub
  • GitLab
  • Git
  • Tout autre outil Git SCM
• Contribuer
• Auteurs
• Licence

Objectif

Avec la myriade de modifications de code nécessaires dans l'environnement CICD actuel, les développeurs poussent constamment du code qui pourrait involontairement contenir des informations sensibles. Cette exposition potentielle de données sensibles représente un risque énorme pour les organisations (2017 OWASP Top Ten #3 - Sensitive Data Exposure). SEDATED® répond à ce problème en examinant automatiquement toutes les modifications de code entrantes et en fournissant un retour instantané au développeur. S'il identifie des données sensibles, il empêche l'envoi du ou des commits vers le serveur Git.

**REMARQUE : Seules les lignes ajoutées ou modifiées (commençant par + dans le fichier de correctif) dans les pushes de commits sont analysées par SEDATED®. Les lignes supprimées (commençant par - dans le fichier de correctif) dans les pushes de commits NE sont PAS analysées par SEDATED®.

Configuration

1. Cloner SEDATED®

git clone https://github.com/OWASP/SEDATED.git

cd SEDATED/

2. Mettre à jour les fichiers .example

cp /config/whitelists/commit_whitelist.txt.example /config/whitelists/commit_whitelist.txt

cp /config/whitelists/repo_whitelist.txt.example /config/whitelists/repo_whitelist.txt

cp /config/enforced_repos_list.txt.example /config/enforced_repos_list.txt

3. Personnaliser les variables et fonctions de /config/custom_configs.sh (au besoin)

4. Pousser SEDATED® avec une implémentation propre à l'organisation

Pousser l'implémentation spécifique à l'organisation de SEDATED® vers le dépôt Git souhaité par l'organisation (GitHub, GitLab, Git, etc.).

5. Pointer le hook pre-receive vers le fichier pre-receive.sh de SEDATED®

Les instructions pour y parvenir sur une instance GitHub Enterprise se trouvent dans GitHub_Enterprise_Setup.md.

Tests locaux

• Configuration Docker GitHub - Instructions générales pour configurer un conteneur Docker GitHub agissant comme serveur Git avec un hook pre-receive activé pour les tests locaux.
  • Certaines modifications devront être apportées pour permettre à SEDATED® de fonctionner comme prévu.
    • always_reject.sh devra être remplacé par le script pre-receive.sh de SEDATED®.
    • Les fichiers et la structure de dossiers accompagnant SEDATED® devront être inclus dans le même répertoire / accessibles par le script pre-receive.sh.
    • Des ajustements supplémentaires peuvent également être nécessaires, mais les instructions liées ci-dessus sont un bon point de départ pour les tests locaux.