GitHub Action de Análise de Segredos da SecureStack

Uma GitHub Action que analisa seu código-fonte em busca de segredos, credenciais, chaves de API, hostnames/URLs de servidores e bancos de dados, e muito mais! Quando você adiciona isso ao GitHub Actions, analisamos seu código-fonte para garantir que não haja dados sensíveis no seu commit. Veja abaixo os tipos específicos de credenciais e arquivos que verificamos.

name: Example SecureStack Secrets Analysis GitHub Action
on: push
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout repo for running secrets analysis within workflow
        id: checkout
        uses: actions/[email protected]
        with:
          fetch-depth: 0
      - name: Secrets Analysis Step
        id: secrets
        uses: SecureStackCo/[email protected]
        with:
          securestack_api_key: ${{ secrets.SECURESTACK_API_KEY }}
          securestack_app_id: ${{ secrets.SECURESTACK_APP_ID }}
          severity: critical
          flags: '-d 1'

NOTA - para entender os possíveis valores para a entrada flags da action, execute a cli da SecureStack localmente:

$ bloodhound-cli code --help

Crie sua chave de API da SecureStack e salve como Segredo do GitHub

1. Faça login no SecureStack com suas credenciais do GitHub.
2. Vá para Configurações no canto inferior esquerdo e selecione a 6ª aba: API.
3. Gere uma nova chave de API e copie o valor.
4. Agora, de volta ao GitHub, vá para Configurações do seu repositório GitHub e clique em Segredos e, em seguida, em Actions no canto inferior esquerdo.
5. Crie um novo segredo chamado SECURESTACK_API_KEY e cole o valor da etapa 2 no campo e clique em "Adicionar segredo".

Obtendo seu ID de Aplicativo da SecureStack

1. Faça login no SecureStack.
2. No menu suspenso de aplicativos no canto superior esquerdo, escolha o aplicativo que deseja usar e clique em "Copiar ID do Aplicativo"
3. Crie um novo segredo chamado SECURESTACK_APP_ID e cole o valor da etapa 2 no campo e clique em "Adicionar segredo".
4. Quando concluído, os dois Segredos do GitHub devem ficar assim

Que tipos de credenciais esta GitHub Action encontra?

1. Chaves de API como Stripe, AWS, Amplitude e um zilhão de outras
2. Hostnames ou URLs de servidores e bancos de dados
3. Senhas e nomes de usuário
4. Arquivos .env e índices git

Como posso ver a saída da análise de segredos?

1. Você pode ver a saída da análise diretamente na saída do workflow da GitHub Action

2. Você pode executar uma análise de segredos local com nossa bloodhound-cli : bloodhound-cli code -s -d 1 -a <app_id>

3. Você pode interagir com a saída da análise no SaaS da SecureStack

Confira nossas outras GitHub Actions:

1. SecureStack Software Composition Analysis (SCA) - Analise seu aplicativo em busca de bibliotecas de terceiros e de código aberto vulneráveis.
2. SecureStack SBOM - Crie uma lista de materiais de software (SBOM) para seu aplicativo.
3. SecureStack Web Vulnerability & Cloud Misconfiguration Analysis - Analise a URL do seu aplicativo em execução em busca de configurações incorretas de nuvem e vulnerabilidades web.
4. SecureStack Log4j Analysis - Analise seu aplicativo em busca de vulnerabilidades Log4j/Log4Shell.
5. Ou nossa GitHub Action All-in-One - Reunimos todas as nossas actions em uma única "Action para governar todas"!

Saiba mais sobre a SecureStack com nosso Canal no YouTube:

Em breve!

Feito com 💜 pela SecureStack