SEDATED

Il progetto SEDATED® (Sensitive Enterprise Data Analyzer To Eliminate Disclosure) si concentra sulla prevenzione della trasmissione a Git di dati sensibili come credenziali utente e token.

Indice dei contenuti

• Scopo
• Configurazione
  • Clona SEDATED®
  • Aggiorna i file .example
  • Personalizza variabili e funzioni in /config/custom_configs.sh (a piacere)
  • Esegui il push di SEDATED® con l'implementazione specifica dell'organizzazione
  • Punta l'hook pre-receive al file pre-receive.sh di SEDATED®
• Test Locali
• Descrizione dei File
  • pre-receive.sh
  • /config/custom_configs.sh
  • /config/enforced_repos_list.txt
  • /config/regexes.json
  • /config/whitelists/commit_whitelist.txt
  • /config/whitelists/repo_whitelist.txt
  • /testing/regex_testing/regex_test_script.sh
  • /testing/regex_testing/test_cases.txt
• Personalizzazione
  • Variabili Personalizzate
  • Funzioni Personalizzate
• Compatibilità
  • GitHub
  • GitLab
  • Git
  • Qualsiasi Altro Strumento Git SCM
• Contribuisci
• Autori
• Licenza

Scopo

Con la miriade di modifiche al codice richieste nell'ambiente CICD odierno, gli sviluppatori eseguono continuamente push di codice che potrebbe contenere involontariamente informazioni sensibili. Questa potenziale esposizione di dati sensibili rappresenta un enorme rischio per le organizzazioni (2017 OWASP Top Ten #3 - Sensitive Data Exposure). SEDATED® affronta questo problema rivedendo automaticamente tutte le modifiche in arrivo e fornendo un feedback immediato allo sviluppatore. Se identifica dati sensibili, impedisce che i commit vengano inviati tramite push al server Git.

**NOTA: SOLO le righe aggiunte o modificate (che iniziano con + nel file patch) nei push di commit vengono scansionate da SEDATED®. Le righe che vengono rimosse (che iniziano con - nel file patch) nei push di commit NON vengono scansionate da SEDATED®.

Configurazione

1. Clona SEDATED®

git clone https://github.com/OWASP/SEDATED.git

cd SEDATED/

2. Aggiorna i file .example

cp /config/whitelists/commit_whitelist.txt.example /config/whitelists/commit_whitelist.txt

cp /config/whitelists/repo_whitelist.txt.example /config/whitelists/repo_whitelist.txt

cp /config/enforced_repos_list.txt.example /config/enforced_repos_list.txt

3. Personalizza variabili e funzioni in /config/custom_configs.sh (a piacere)

4. Esegui il push di SEDATED® con l'implementazione specifica dell'organizzazione

Esegui il push dell'implementazione specifica dell'organizzazione di SEDATED® nel repository Git desiderato dall'organizzazione (GitHub, GitLab, Git, ecc...).

5. Punta l'hook pre-receive al file pre-receive.sh di SEDATED®

Le istruzioni per farlo su un'istanza GitHub Enterprise sono disponibili in GitHub_Enterprise_Setup.md.

Test Locali

• GitHub Docker Setup - Istruzioni generali per configurare un container Docker GitHub che funga da server Git con un hook pre-receive abilitato per i test locali.
  • Saranno necessarie alcune modifiche per consentire a SEDATED® di funzionare come previsto.
    • always_reject.sh dovrà essere sostituito con lo script pre-receive.sh di SEDATED®.
    • I file/la struttura di cartelle associati a SEDATED® dovranno essere inclusi nella stessa directory / accessibili dallo script pre-receive.sh.
    • Potrebbero essere necessarie anche alcune modifiche aggiuntive, ma le istruzioni linkate sopra sono un buon punto di partenza per i test locali.