SecretScrub

SecretScrubは、ハードコードされた汚れたシークレットをすべて洗い流します。このスクリプトは、さまざまな静的解析ツールによって生成されるSARIFファイル形式のファイルを処理します。このツールはファイルシステム内のディレクトリをスキャンし、SARIFファイル内で検出されたすべてのシークレットインスタンスを秘匿化して、ディレクトリの新しいコピーに反映します。シークレットはGit履歴に存在することが多いため、生成されるコピーからは .git ディレクトリが除外されます。

SARIFは業界標準の形式ですが、さまざまなツールが生成するSARIF出力にはばらつきがあります。そのため、現在サポートされているツールは以下のとおりです。

SARIF出力のバリエーションのため、将来のバージョンのツールで生成された出力が正しく動作しない可能性があります。

依存関係

依存関係は requirements.txt ファイルに記載されています。簡単に言うと、以下のパッケージが必要です。

使用方法

コマンドラインでの使用方法

事前に生成されたツール出力を使用する

$ python secretscrub.py --input <path> --srcdir <path> --outdir <path> [--report <path>]

ツールの呼び出し

$ python secretscrub.py --analyse-with <analysis-tool-list> --srcdir <path> --outdir <path> [--report <path>]

注: これらのツールが機能するには、現在のシステムに存在し、インストールされている必要があります。

Dockerコンテナ

このソースツリーからビルドされたDockerイメージには、SecretScrubツールと、Trivy、GitLeaks、ccs、cqツールのコピーが含まれています。

secretscrub:latest というタグでビルドされている場合、次のコマンドは付随するレポート付きで完全な分析および秘匿化作業を開始します。

sudo docker run -it -v <source-path>:/src:ro -v <output-path>:/out secretscrub:latest --analyse-with trivy,gitleaks,bindetect

これにはコンテナ内で2つのボリュームをマッピングすることが含まれることに注意してください。1つ目 -- <source-path> -- には元の未秘匿化のソースコードが含まれている必要があります。2つ目 -- <output-path> -- には秘匿化された出力とレポートが格納されます。

推奨ワークフロー

以下の例では、ソースが src という名前のサブディレクトリに保存され、SecretScrubが tools という名前のサブディレクトリにインストールされていることを前提としています。

コマンドラインを使用する

$ python tools/secretscrub.py --analse-with trivy,gitleaks,bindetect --srcdir src --outdir src-redacted

Dockerコンテナを使用する

sudo docker run -it -v <source-path>:/src:ro -v <output-path>:/out secretscrub:latest --analyse-with trivy,gitleaks,bindetect