SecretScanner

SecretScanner

Deepfence SecretScanner può trovare segreti non protetti in immagini container o file system.

• SecretScanner è uno strumento autonomo che recupera e cerca nei file system dei container e dell'host, confrontando i contenuti con un database di circa 140 tipi di segreti.
• SecretScanner è anche incluso in ThreatMapper, uno scanner open source che identifica dipendenze vulnerabili e segreti non protetti in applicazioni cloud native, e classifica queste vulnerabilità in base al loro rischio di exploit (esempio)

Cosa sono i Segreti?

I segreti sono qualsiasi tipo di dati sensibili o privati che danno agli utenti autorizzati il permesso di accedere a infrastrutture IT critiche (come account, dispositivi, rete, servizi cloud), applicazioni, storage, database e altri tipi di dati critici per un'organizzazione. Ad esempio, password, AWS access ID, AWS secret access key, Google OAuth Key ecc. sono segreti. I segreti dovrebbero essere rigorosamente mantenuti privati. Tuttavia, a volte gli attaccanti possono accedere facilmente ai segreti a causa di politiche di sicurezza errate o errori involontari degli sviluppatori. A volte gli sviluppatori utilizzano segreti predefiniti o lasciano segreti hard-coded come password, chiavi API, chiavi di crittografia, chiavi SSH, token ecc. nelle immagini container, specialmente durante cicli rapidi di sviluppo e distribuzione nella pipeline CI/CD. Inoltre, a volte gli utenti memorizzano le password in chiaro. La fuga di segreti a entità non autorizzate può mettere a serio rischio la tua organizzazione e infrastruttura.

Deepfence SecretScanner aiuta gli utenti a scansionare le loro immagini container o directory locali sugli host e produce un file JSON con i dettagli di tutti i segreti trovati.

Consulta il nostro blog per maggiori dettagli.

Quando usare SecretScanner

Usa SecretScanner se hai bisogno di un metodo leggero ed efficiente per scansionare immagini container e file system alla ricerca di possibili segreti (chiavi, token, password). Puoi quindi esaminare questi possibili 'segreti' per determinare se qualcuno di essi dovrebbe essere rimosso dalle distribuzioni di produzione.

Avvio Rapido

Per istruzioni complete, consulta la Documentazione di SecretScanner.

Installa docker ed esegui SecretScanner su un'immagine container usando le seguenti istruzioni:

• Costruisci SecretScanner:

./bootstrap.sh
docker build --rm=true --tag=quay.io/deepfenceio/deepfence_secret_scanner_ce:2.5.8 -f Dockerfile .

• Oppure, estrai l'ultima build da docker hub eseguendo:

docker pull quay.io/deepfenceio/deepfence_secret_scanner_ce:2.5.8

Scansione

• Estrai un'immagine container per la scansione:

docker pull node:8.11

• Scansionala:

docker run -i --rm --name=deepfence-secretscanner \
    -v /var/run/docker.sock:/var/run/docker.sock \
    quay.io/deepfenceio/deepfence_secret_scanner_ce:2.5.8 \
    --image-name node:8.11 \
    --output json > node.json

Crediti

Abbiamo sviluppato basandoci sul file di configurazione del progetto shhgit.

Contattaci

Grazie per aver utilizzato SecretScanner.

• Inizia con la documentazione
• Hai una domanda, hai bisogno di aiuto? Trova il team Deepfence su Slack
• Hai una richiesta di funzionalità o hai trovato un bug? Apri un issue
• productsecurity at deepfence dot io: Trovato un problema di sicurezza? Condividilo in via confidenziale

Sicurezza e Supporto

Per qualsiasi problema relativo alla sicurezza nel progetto SecretScanner, contatta productsecurity at deepfence dot io. Per favore apri issue su GitHub secondo necessità e unisciti al canale Slack della Community Deepfence.

Dichiarazione di non responsabilità

Questo strumento non è inteso per essere utilizzato per hacking. Si prega di usarlo solo per scopi legittimi come la rilevazione di segreti sulla propria infrastruttura, non su quella di altri. DEEPFENCE non sarà responsabile per perdita di profitto, perdita di affari, altre perdite finanziarie, o qualsiasi altra perdita o danno che possa essere causato, direttamente o indirettamente, dall'inadeguatezza di SecretScanner per qualsiasi scopo o dal suo utilizzo o da qualsiasi difetto o carenza in esso.