SecureStack 密钥分析 GitHub Action

一个用于分析源代码中是否存在密钥、凭据、API 密钥、服务器和数据库主机名/URL 等更多内容的 GitHub Action！当你将此 Action 添加到 GitHub Actions 后，我们将分析你的源代码，确保你的提交中不包含敏感数据。请参阅下文了解我们扫描的特定凭据类型和文件。

name: Example SecureStack Secrets Analysis GitHub Action
on: push
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout repo for running secrets analysis within workflow
        id: checkout
        uses: actions/[email protected]
        with:
          fetch-depth: 0
      - name: Secrets Analysis Step
        id: secrets
        uses: SecureStackCo/[email protected]
        with:
          securestack_api_key: ${{ secrets.SECURESTACK_API_KEY }}
          securestack_app_id: ${{ secrets.SECURESTACK_APP_ID }}
          severity: critical
          flags: '-d 1'

注意 - 要了解 Action 输入项 flags 的可能取值，请在本地运行 SecureStack cli：

$ bloodhound-cli code --help

创建你的 SecureStack API 密钥并将其保存为 GitHub Secret

1. 使用你的 GitHub 凭据登录 SecureStack。
2. 转到左下角的 Settings，然后选择第 6 个标签页：API。
3. 生成一个新的 API 密钥并复制该值。
4. 现在回到 GitHub，进入你的 GitHub 仓库的 Settings，点击左下角的 Secrets，然后点击 Actions。
5. 创建一个名为 SECURESTACK_API_KEY 的新 secret，将第 2 步中的值粘贴到字段中，然后点击 "Add secret"。

获取你的 SecureStack 应用程序 ID

1. 登录 SecureStack。
2. 在左上角的应用程序下拉菜单中选择你要使用的应用程序，然后点击 "Copy Application ID"
3. 创建一个名为 SECURESTACK_APP_ID 的新 secret，将第 2 步中的值粘贴到字段中，然后点击 "Add secret"。
4. 完成后，这两个 GitHub Secret 应如下图所示

这个 GitHub Action 能发现哪些类型的凭据？

1. API 密钥，如 Stripe、AWS、Amplitude 以及大量其他服务的密钥
2. 服务器和数据库主机名或 URL
3. 密码和用户名
4. .env 文件和 git 索引

我如何查看密钥分析的结果？

1. 你可以直接在 GitHub Action 工作流输出中查看分析结果

2. 你可以使用我们的 bloodhound-cli : 在本地运行密钥分析 bloodhound-cli code -s -d 1 -a <app_id>

3. 你可以通过 SecureStack SaaS 与分析结果进行交互

查看我们的其他 GitHub Actions：

1. SecureStack 软件成分分析 (SCA) - 扫描你的应用程序中易受攻击的第三方和开源库。
2. SecureStack SBOM - 为你的应用程序创建软件物料清单 (SBOM)。
3. SecureStack Web 漏洞与云错误配置分析 - 扫描你正在运行的应用程序 URL，查找云错误配置和 Web 漏洞。
4. SecureStack Log4j 分析 - 扫描你的应用程序是否存在 Log4j/Log4Shell 漏洞。
5. 或者，使用我们的 All-in-One GitHub Action - 我们将所有 Action 整合到了一个 "统管一切的 Action" 中！

通过我们的 YouTube 频道了解更多关于 SecureStack 的信息：

即将推出！

由 SecureStack 用 💜 制作