SecureStack シークレット解析 GitHub Action

ソースコードを解析して、シークレット、認証情報、APIキー、サーバーやデータベースのホスト名/URLなど、さまざまな機密情報を検出するGitHub Actionです。これをGitHub Actionsに追加すると、コミット内に機密データが含まれていないかソースコードを解析します。スキャン対象の認証情報とファイルの具体的な種類については、以下を参照してください。

name: Example SecureStack Secrets Analysis GitHub Action
on: push
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout repo for running secrets analysis within workflow
        id: checkout
        uses: actions/[email protected]
        with:
          fetch-depth: 0
      - name: Secrets Analysis Step
        id: secrets
        uses: SecureStackCo/[email protected]
        with:
          securestack_api_key: ${{ secrets.SECURESTACK_API_KEY }}
          securestack_app_id: ${{ secrets.SECURESTACK_APP_ID }}
          severity: critical
          flags: '-d 1'

注 - アクション入力 flags に指定できる値を確認するには、SecureStack CLI をローカルで実行してください:

$ bloodhound-cli code --help

SecureStack APIキーを作成してGitHub Secretとして保存する

1. SecureStack に GitHub アカウントでログインします。
2. 左下隅の Settings に移動し、6番目のタブである API を選択します。
3. 新しいAPIキーを生成し、その値をコピーします。
4. GitHub に戻り、GitHub リポジトリの Settings に移動して、左下の Secrets、続いて Actions をクリックします。
5. SECURESTACK_API_KEY という名前の新しいシークレットを作成し、ステップ2の値をフィールドに貼り付けて「シークレットを追加」をクリックします。

SecureStack アプリケーション ID を取得する

1. SecureStack にログインします。
2. 左上のアプリケーションドロップダウンから使用するアプリケーションを選択し、「アプリケーション ID をコピー」をクリックします。
3. SECURESTACK_APP_ID という名前の新しいシークレットを作成し、ステップ2の値をフィールドに貼り付けて「シークレットを追加」をクリックします。
4. 完了すると、2つのGitHub Secretsは次のようになります。

このGitHub Actionはどのような種類の認証情報を検出しますか?

1. Stripe、AWS、Amplitudeなど、数え切れないほどのAPIキー
2. サーバーおよびデータベースのホスト名またはURL
3. パスワードとユーザー名
4. .env ファイルと git インデックス

シークレット解析の出力を確認するにはどうすればよいですか?

1. GitHub Action のワークフロー出力で解析結果を直接確認できます。
2. 当社の bloodhound-cli : を使用して、ローカルでシークレット解析を実行できます。 bloodhound-cli code -s -d 1 -a <app_id>
3. SecureStack SaaS で解析出力を確認できます。

他のGitHub Actionsもチェックしてください:

1. SecureStack Software Composition Analysis (SCA) - サードパーティやオープンソースの脆弱なライブラリがないかアプリケーションをスキャンします。
2. SecureStack SBOM - アプリケーションのソフトウェア部品表（SBOM）を作成します。
3. SecureStack Web Vulnerability & Cloud Misconfiguration Analysis - 実行中のアプリケーションURLをスキャンして、クラウドの設定ミスやWeb脆弱性を検出します。
4. SecureStack Log4j Analysis - Log4j/Log4Shellの脆弱性がないかアプリケーションをスキャンします。
5. または、当社の All-in-One GitHub Action - すべてのアクションを1つにまとめた「すべてを支配するアクション」です。

YouTubeチャンネルでSecureStackの詳細を学ぶ:

近日公開！

💜 を込めて SecureStack が作成