GitSecure

GitSecureについて

GitSecureは、プッシュおよびプルリクエスト時に露出したAPIキーをセキュリティチームに通知するためのGitHubアクションです。GitHubリポジトリにファイルが追加または変更されると、このアクションが起動され、システム内の露出した認証情報の検索を開始します。トークンを検出すると、Slack Webhookを介してチームに警告を送信します。

セットアップ

GitSecureのセットアップは簡単で、手間はほとんどかかりません。

1. Slack Webhookの作成

Slack Webhookは、https://api.slack.com にアクセスしてアプリを作成することで作成できます。アプリを作成する際、受信用Webhookとして選択し、そのWebhookをアラートを受け取りたいチャンネルにインストールします。

Webhookのインストール後、Slackが提供するURLをコピーします。コピーする必要があるのは、https://hooks.slack.com/services/ の後の部分のみです。

2. シークレットの設定

GitHubのアクションはシークレットを使用して機密情報の漏洩を防ぎます。リポジトリの設定に移動し、「Secrets」をクリックします。そこで新しいシークレットを作成し、値として上記でコピーしたWebhookの部分を貼り付けます。

3. アクションの設定

アクションを設定するには、「Pull Requests」の隣にある「Actions」をクリックします。設定画面で「Set up a workflow yourself」をクリックし、以下のYAML記述を貼り付けます。

on:
  push:
    branches:
      - master

jobs:
  detect_tests:
    runs-on: ubuntu-latest
    name: A workflow to test the work of DataSecure
    steps:
    - name: Checkout
      uses: actions/checkout@v1
    - name: CodeAnalysis
      uses: bugbounty-site/GitSecure@master
      with:
        slack_hook: ${{ secrets.slack_webhook }}

slack_webhook を、設定で作成したシークレットの名前に変更してください。