SecureStack 시크릿 분석 GitHub Action

소스 코드에서 시크릿, 자격 증명, API 키, 서버 및 데이터베이스 호스트 이름/URL 등을 분석하는 GitHub Action입니다! 이 Action을 GitHub Actions에 추가하면 커밋에 민감한 데이터가 없는지 확인하기 위해 소스 코드를 분석합니다. 스캔 대상 자격 증명 및 파일 유형에 대한 자세한 내용은 아래를 참조하세요.

name: Example SecureStack Secrets Analysis GitHub Action
on: push
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout repo for running secrets analysis within workflow
        id: checkout
        uses: actions/[email protected]
        with:
          fetch-depth: 0
      - name: Secrets Analysis Step
        id: secrets
        uses: SecureStackCo/[email protected]
        with:
          securestack_api_key: ${{ secrets.SECURESTACK_API_KEY }}
          securestack_app_id: ${{ secrets.SECURESTACK_APP_ID }}
          severity: critical
          flags: '-d 1'

참고: action 입력 flags에 사용할 수 있는 값을 확인하려면 SecureStack CLI를 로컬에서 실행하세요.

$ bloodhound-cli code --help

SecureStack API 키 생성 및 GitHub Secret으로 저장

1. GitHub 자격 증명으로 SecureStack에 로그인합니다.
2. 왼쪽 하단의 Settings로 이동한 다음 6번째 탭인 API를 선택합니다.
3. 새 API 키를 생성하고 값을 복사합니다.
4. 이제 GitHub로 돌아가서 GitHub 리포지토리의 Settings로 이동하고 Secrets를 클릭한 다음 왼쪽 하단의 Actions를 클릭합니다.
5. SECURESTACK_API_KEY라는 새 secret을 만들고 2단계의 값을 필드에 붙여넣은 다음 "Add secret"을 클릭합니다.

SecureStack 애플리케이션 ID 가져오기

1. SecureStack에 로그인합니다.
2. 왼쪽 상단의 애플리케이션 드롭다운에서 사용할 애플리케이션을 선택하고 "애플리케이션 ID 복사"를 클릭합니다.
3. SECURESTACK_APP_ID라는 새 secret을 만들고 2단계의 값을 필드에 붙여넣은 다음 "Add secret"을 클릭합니다.
4. 완료되면 두 GitHub Secret이 다음과 같이 표시됩니다.

이 GitHub Action은 어떤 유형의 자격 증명을 찾아내나요?

1. Stripe, AWS, Amplitude 및 기타 수많은 API 키
2. 서버 및 데이터베이스 호스트 이름 또는 URL
3. 비밀번호 및 사용자 이름
4. .env 파일 및 git 인덱스

시크릿 분석 출력은 어떻게 확인할 수 있나요?

1. GitHub Action 워크플로 출력에서 분석 결과를 바로 확인할 수 있습니다.

2. 우리의 bloodhound-cli : 를 사용하여 로컬 시크릿 분석을 실행할 수 있습니다. bloodhound-cli code -s -d 1 -a <app_id>

3. SecureStack SaaS에서 분석 출력 결과를 확인할 수 있습니다.

다른 GitHub Actions도 확인해 보세요:

1. SecureStack Software Composition Analysis (SCA) - 취약한 타사 및 오픈 소스 라이브러리가 있는지 애플리케이션을 스캔합니다.
2. SecureStack SBOM - 애플리케이션에 대한 소프트웨어 자재 명세서(SBOM)를 생성합니다.
3. SecureStack Web Vulnerability & Cloud Misconfiguration Analysis - 실행 중인 애플리케이션 URL에서 클라우드 잘못된 구성 및 웹 취약점을 스캔합니다.
4. SecureStack Log4j Analysis - Log4j/Log4Shell 취약점이 있는지 애플리케이션을 스캔합니다.
5. 또는 All-in-One GitHub Action - 모든 액션을 하나로 묶은 "모든 것을 지배하는 액션"을 만들었습니다!

YouTube 채널에서 SecureStack에 대해 더 알아보세요:

곧 공개됩니다!

💜로 SecureStack이 만들었습니다.