SEDATED

O Projeto SEDATED® (Sensitive Enterprise Data Analyzer To Eliminate Disclosure) foca em prevenir que dados sensíveis, como credenciais de usuários e tokens, sejam enviados para o Git.

Índice

• Propósito
• Configuração
  • Clonar o SEDATED®
  • Atualizar os arquivos .example
  • Personalizar as variáveis e funções de /config/custom_configs.sh (conforme desejado)
  • Enviar o SEDATED® com a implementação específica da organização
  • Apontar o hook pre-receive para o arquivo pre-receive.sh do SEDATED®
• Testes Locais
• Descrições dos Arquivos
  • pre-receive.sh
  • /config/custom_configs.sh
  • /config/enforced_repos_list.txt
  • /config/regexes.json
  • /config/whitelists/commit_whitelist.txt
  • /config/whitelists/repo_whitelist.txt
  • /testing/regex_testing/regex_test_script.sh
  • /testing/regex_testing/test_cases.txt
• Personalização
  • Variáveis Personalizadas
  • Funções Personalizadas
• Compatibilidade
  • GitHub
  • GitLab
  • Git
  • Qualquer Outra Ferramenta Git SCM
• Contribuir
• Autores
• Licença

Propósito

Com a infinidade de alterações de código necessárias no ambiente CICD atual, os desenvolvedores estão constantemente enviando código que pode conter inadvertidamente informações sensíveis. Essa potencial exposição de dados sensíveis representa um enorme risco para as organizações (2017 OWASP Top Ten #3 - Exposição de Dados Sensíveis). O SEDATED® aborda este problema revisando automaticamente todas as alterações de código recebidas e fornecendo feedback instantâneo ao desenvolvedor. Se identificar dados sensíveis, ele impedirá que os commits sejam enviados para o servidor Git.

**OBSERVAÇÃO: APENAS as linhas sendo adicionadas ou modificadas (que começam com + no arquivo patch) nos pushes de commits são escaneadas pelo SEDATED®. Linhas que estão sendo removidas (que começam com - no arquivo patch) nos pushes de commits NÃO são escaneadas pelo SEDATED®.

Configuração

1. Clonar o SEDATED®

git clone https://github.com/OWASP/SEDATED.git

cd SEDATED/

2. Atualizar os arquivos .example

cp /config/whitelists/commit_whitelist.txt.example /config/whitelists/commit_whitelist.txt

cp /config/whitelists/repo_whitelist.txt.example /config/whitelists/repo_whitelist.txt

cp /config/enforced_repos_list.txt.example /config/enforced_repos_list.txt

3. Personalizar as variáveis e funções de /config/custom_configs.sh (conforme desejado)

4. Enviar o SEDATED® com a implementação específica da organização

Enviar a implementação específica da organização do SEDATED® para o repositório Git desejado pela organização (GitHub, GitLab, Git, etc...).

5. Apontar o hook pre-receive para o arquivo pre-receive.sh do SEDATED®

Instruções para realizar isso em uma instância do GitHub Enterprise podem ser encontradas em GitHub_Enterprise_Setup.md.

Testes Locais

• Configuração Docker do GitHub - Instruções gerais para configurar um contêiner Docker do GitHub para atuar como servidor Git com um hook pre-receive habilitado para testes locais.
  • Serão necessárias algumas modificações para permitir que o SEDATED® funcione conforme projetado.
    • O arquivo always_reject.sh precisará ser substituído pelo script pre-receive.sh do SEDATED®.
    • Os arquivos/estrutura de pastas complementares do SEDATED® precisarão ser incluídos no mesmo diretório/acessíveis pelo script pre-receive.sh.
    • Alguns ajustes adicionais também podem ser necessários, mas as instruções vinculadas acima são um bom ponto de partida para testes locais.