SecretScrub

SecretScrub избавит вас от всех ваших грязных захардкоженных секретов. Этот скрипт обрабатывает файлы в формате SARIF, который генерируется различными инструментами статического анализа. Инструмент сканирует каталог в файловой системе и создаёт новую копию каталога, в которой все обнаруженные в SARIF-файлах экземпляры секретов замаскированы. Поскольку секреты часто хранятся в истории Git, каталог .git исключается из результирующей копии.

Хотя SARIF является отраслевым стандартом, вывод SARIF, создаваемый различными инструментами, может различаться. В результате в настоящее время поддерживаются только следующие инструменты.

Из-за различий в выводе SARIF возможно, что вывод, созданный будущими версиями инструмента, будет работать некорректно.

Dependencies

Зависимости перечислены в файле requirements.txt. Кратко, требуются следующие пакеты:

Usage

Command Line Usage

Using previously-generated tool output

$ python secretscrub.py --input <path> --srcdir <path> --outdir <path> [--report <path>]

Invoking the tools

$ python secretscrub.py --analyse-with <analysis-tool-list> --srcdir <path> --outdir <path> [--report <path>]

ПРИМЕЧАНИЕ. Для работы инструменты должны присутствовать и быть установлены в текущей системе:

Docker Container

Docker-образ, собранный из этого дерева исходников, включает инструмент SecretScrub и копии инструментов Trivy, GitLeaks, ccs и cq.

Если он был собран с тегом secretscrub:latest, следующая команда запустит полный анализ и операцию маскирования с сопутствующим отчётом.

sudo docker run -it -v <source-path>:/src:ro -v <output-path>:/out secretscrub:latest --analyse-with trivy,gitleaks,bindetect

Обратите внимание, что это подразумевает монтирование двух томов в контейнер. Первый -- <source-path> -- должен содержать исходный, незамаскированный исходный код. Второй -- <output-path> -- получит замаскированные выходные данные и отчёт.

Suggested Workflow

В следующих примерах предполагается, что исходный код хранится в подкаталоге с именем src, а SecretScrub установлен в подкаталоге с именем tools.

Using the Command Line

$ python tools/secretscrub.py --analse-with trivy,gitleaks,bindetect --srcdir src --outdir src-redacted

Using the Docker Container

sudo docker run -it -v <source-path>:/src:ro -v <output-path>:/out secretscrub:latest --analyse-with trivy,gitleaks,bindetect