目的

在当今的 CICD 环境中，需要进行大量的代码更改，开发人员不断推送可能无意中包含敏感信息的代码。这种潜在的敏感数据暴露给组织带来了巨大的风险（2017 OWASP Top Ten #3 - 敏感数据暴露）。SEDATED® 通过自动审查所有传入的代码更改并向开发人员提供即时反馈来解决此问题。如果识别出敏感数据，它将阻止提交被推送到 Git 服务器。

**注意：SEDATED® 仅扫描提交推送中新增或修改的行（在补丁文件中以 + 开头）。对于提交推送中被删除的行（在补丁文件中以 - 开头），SEDATED® 不会扫描。

设置

1. 克隆 SEDATED®

git clone https://github.com/OWASP/SEDATED.git

cd SEDATED/

2. 更新 `.example` 文件

cp /config/whitelists/commit_whitelist.txt.example /config/whitelists/commit_whitelist.txt

cp /config/whitelists/repo_whitelist.txt.example /config/whitelists/repo_whitelist.txt

cp /config/enforced_repos_list.txt.example /config/enforced_repos_list.txt

3. 根据需要自定义 `/config/custom_configs.sh` 变量和函数

4. 推送组织特定实现的 SEDATED®

将组织特定的 SEDATED® 实现推送到组织所需的 Git 仓库（GitHub、GitLab、Git 等）。

5. 将预接收钩子指向 SEDATED® 的 `pre-receive.sh` 文件

在 GitHub Enterprise 实例上完成此操作的说明可在 GitHub_Enterprise_Setup.md 中找到。

本地测试

GitHub Docker 设置 - 设置 GitHub Docker 容器作为启用预接收钩子的 Git 服务器以进行本地测试的一般说明。
- 需要进行一些修改，以使 SEDATED® 按设计运行。
  - 需要用 SEDATED® 的 pre-receive.sh 脚本替换 always_reject.sh。
  - SEDATED® 的附带文件/文件夹结构需要包含在同一目录中，或可以被 pre-receive.sh 脚本访问。
  - 可能还需要一些其他调整，但上述链接中的说明是本地测试的良好起点。

文件说明

`pre-receive.sh`

SEDATED® 的核心和灵魂。
SEDATED® 预接收 Git 钩子脚本，结合 SEDATED® 的正则表达式（config/regexes.json），识别推送到 Git 实例的代码中新增或修改的行，这些行包含硬编码的凭证/敏感数据（如 config/regexes.json 中所定义），如果找到包含硬编码凭证/敏感数据的行，则阻止推送。

`/config/custom_configs.sh`

SEDATED® 自定义配置文件，与 pre-receive.sh 一起使用，允许组织自定义其 SEDATED® 实现，而无需修改 SEDATED® 的 pre-receive.sh 文件中的任何源代码，它提供了内置的可自定义变量和函数，这些变量和函数从 pre-receive.sh 中引用。

`/config/enforced_repos_list.txt`

当 SEDATED®（预接收钩子）在 config/custom_configs.sh 中的 use_enforced_repo_check_custom 标志设置为 "True" 时使用。
允许 SEDATED® 在企业内全局“启用”，但仅在列在此文件中的仓库上“强制”启用。
可以通过在需要强制启用的组织或用户名后追加 /* 来对特定组织或用户名下的所有仓库进行强制启用。
如果 SEDATED® 在组织内全局启用，并且仓库未出现在 /config/enforced_repos_list.txt 文件中，则推送者（如果从命令行推送）将看到一条可自定义的消息（通过 /config/custom_configs.sh 文件自定义），并且 SEDATED® 不会扫描推送中包含的任何代码。
启用/禁用此功能的标志可以在 /config/custom_configs.sh 中找到，并设置为 "True" 或 "False"。
- "False" - 每个“启用”了 SEDATED® 的仓库也将“强制”启用 SEDATED®。
- "True" - 只有“启用”了 SEDATED® 并且列在 /config/enforced_repos_list.txt 中的仓库才会“强制”启用 SEDATED®。所有其他“启用”了 SEDATED® 但未列在 /config/enforced_repos_list.txt 中的仓库只会看到一条自定义消息，不会对来自这些仓库的推送进行代码扫描。
此文件可以为空，仅在 config/custom_configs.sh 中的 use_enforced_repo_check_custom 标志设置为 "True" 时才需要存在。

`/config/regexes.json`

包含用于标记敏感数据/硬编码凭证的正则表达式（regexes）。
这些正则表达式由 GNU grep（在 pre-receive.sh 中）使用 -P 标志消费，使其成为 Perl 兼容的正则表达式（PCRE）。
可以根据需要从此文件中添加或删除正则表达式，但如果使用 /testing/regex_testing/regex_test_script.sh 脚本，则需要通过添加或删除与更新后的正则表达式相关的测试用例来更新 /testing/regex_testing/test_cases.txt 文件，以便 /testing/regex_testing/regex_test_script.sh 的结果准确。
如果在此文件中添加/修改正则表达式，可能由于文件为 JSON 格式，需要额外的转义字符 \。

`/config/whitelists/commit_whitelist.txt`

在误报情况下使用，如果提交 ID 包含在此文件中，则可以排除一个或多个提交在扫描过程中被检查。
提交 ID 需要在此文件中以回车分隔，如 /config/whitelists/commit_whitelist.txt.example 文件所示。
此文件可以为空，但需要存在。

可选：当开发人员遇到误报时，请求他们向此（`commit_whitelist.txt`）文件提交拉取请求，以便进行审查。

`/config/whitelists/repo_whitelist.txt`

包含在此文件中的（组织/用户名）/仓库将完全排除在敏感数据/硬编码凭证的扫描之外，直到从列表中移除。
在大量推送（例如仓库迁移）的情况下使用，此时 SEDATED® 无法在 5 秒窗口内（5 秒窗口是 GitHub 特定的，在其他 Git 实例上可能不同）扫描推送中包含的新/修改代码。
（组织/用户名）/仓库名称需要在此文件中以回车分隔，如 /config/whitelists/repo_whitelist.txt.example 文件所示。
此文件可以为空，但需要存在。

`/testing/regex_testing/regex_test_script.sh`

SEDATED® 正则表达式测试脚本，与 testing/regex_testing/test_cases.txt 一起使用，是一种简单、快速的离线方式，用于测试/验证 config/regexes.json 中的正则表达式是否有效并匹配所需的模式，以及是否按预期排除/不匹配。
- 针对测试用例列表（/testing/regex_testing/test_cases.txt）测试正则表达式，以验证正则表达式是否按预期工作。
- 包括对正例和负例测试用例（/testing/regex_testing/test_cases.txt）的测试。
- 运行脚本时必须使用 GNU grep，否则脚本将失败（BSD grep 没有 -P 标志）。
- 脚本中使用的测试用例从 /testing/regex_testing/test_cases.txt 中获取。

`/testing/regex_testing/test_cases.txt`

测试用例列表，将被传递到 /testing/regex_testing/regex_test_script.sh 中供其使用。
每个测试用例都附有 >>pass 或 >>fail，告诉 /testing/regex_testing/regex_test_script.sh 脚本对正则表达式的期望。
- >>pass 表示包含前面字符串的推送将被 SEDATED® 接受（即正则表达式不会标记前面的字符串）。
- >>fail 表示包含前面字符串的推送将被 SEDATED® 拒绝（即正则表达式会标记前面的字符串）。

SEDATED

最受欢迎

目录

可选：当开发人员遇到误报时，请求他们向此（commit_whitelist.txt）文件提交拉取请求，以便进行审查。

可选：当开发人员遇到误报时，请求他们向此（`commit_whitelist.txt`）文件提交拉取请求，以便进行审查。