GitHub Бяспека адыгрывае найважнейшую ролю ў сучасным DevOps. Паколькі каманды ўсё часцей выкарыстоўваюць GitHub для сумеснай працы над кодам, аўтаматызацыі і CI/CD, яны таксама сутыкаюцца з новымі рызыкамі, такімі як уцечка сакрэтаў, няправільна настроеныя працоўныя працэсы, уразлівыя залежнасці і небяспечныя зліцці. Таму важна разумець, як эфектыўна абараніць асяроддзе GitHub. У гэтым FAQ разглядаюцца найбольш распаўсюджаныя пытанні распрацоўшчыкаў і тлумачыцца, як GitHub Advanced Security разам з такімі інструментамі, як Xygeni, можа дапамагчы вам абараніць кожны этап вашага pipelineАкрамя таго, вы знойдзеце спасылкі на падрабязныя кіраўніцтвы па такіх тэмах, як абарона галін, бяспека праграм і бяспечныя дзеянні GitHub, каб вы маглі больш падрабязна акунуцца ў інфармацыю, калі гэта спатрэбіцца.
Як бяспечна карыстацца GitHub
Выкарыстанне GitHub Advanced Security азначае інтэграцыю бяспекі на кожным этапе вашага працоўнага працэсу. Гаворка ідзе не толькі пра абарону кодавай базы. Гаворка ідзе таксама пра зніжэнне рызык, звязаных з ідэнтыфікацыяй, сакрэтамі, аўтаматызацыяй і залежнасцямі ланцужка паставак. Калі бяспека ўбудавана на ранняй стадыі, каманды могуць хутка дзейнічаць без шкоды для якасці.
Наступныя рэкамендацыі дапамагаюць распрацоўшчыкам бяспечна працаваць на GitHub:
Уключыць двухфактарную аўтэнтыфікацыю (2FA)
Дастаткова аднаго ўзламанага пароля. Патрабуючы двухфактарную аўтэнтыфікацыю (2FA) для ўсіх акаўнтаў, вы значна зніжаеце рызыку несанкцыянаванага доступу.
Пазбегнуць commitзахоўванне сакрэтаў у вашым рэпазітарыі
Такія сакрэты, як ключы API, токены і паролі, ніколі не павінны захоўвацца ў Git. Нават прыватныя рэпазіторыі могуць уцекнуць, калі распрацоўшчык выпадкова дадасць файл .env або файл канфігурацыі. У той час як GitHub Advanced Security можа сканаваць на наяўнасць раскрытых сакрэтаў, Xygeni забяспечвае дадатковую абарону, выяўляючы сакрэты перад аб'яднаннем, правяраючы іх выкарыстанне і нават запускаючы аўтаматычную адмену і папярэджанне пры неабходнасці.
Выкарыстоўвайце .gitignore, каб прадухіліць версіфікацыю канфідэнцыйных файлаў
Выключыце файлы лакальнага асяроддзя, уліковыя дадзеныя, ключы SSH або файлы канфігурацыі, якія ўтрымліваюць сакрэты. Гэта памяншае верагоднасць выпадковага раскрыцця падчас commit or pull request.
Наладзьце правілы абароны філіялаў
Патрабаваць праверку статусу, прымусіць да ўзгаднення PR і блакіраваць прамыя загрузкі ў асноўныя галіны. Гэтыя элементы кіравання неабходныя для прадухілення траплення неправеранага або ўразлівага кода ў прадукцыйную версію.
Рэгулярна правярайце бачнасць рэпазітара і правы доступу
Рэпазіторыі павінны быць прыватнымі па змаўчанні, калі няма важкіх падстаў зрабіць іх публічнымі. У агульных асяроддзях распрацоўшчыкам павінен быць прадастаўлены мінімальны доступ, неабходны для выканання іх працы.
Аўдыт вашых працоўных працэсаў GitHub Actions
Рабочыя працэсы часта ігнаруюцца, але яны з'яўляюцца часткай вашай паверхні для атакі. Заўсёды фіксуйце дзеянні трэціх асоб, commit SHA, пазбягайце непатрэбных правоў на запіс токенаў і правярайце ўваходныя дадзеныя. Xygeni дапамагае ў гэтым, скануючы кожны файл працоўнага працэсу на наяўнасць няправільных канфігурацый, празмерных правоў доступу або рызыкоўных шаблонаў. Ён інтэгруецца з вашым GitHub. pipeline каб спыніць небяспечныя працоўныя працэсы перад іх аб'яднаннем.
Сканіруйце код, залежнасці, сакрэты і IaC аўтаматычна
Ручных праверак недастаткова. GitHub Advanced Security забяспечвае сканаванне кода і залежнасцей, але большасці каманд патрэбна больш шырокае пакрыццё. Xygeni дадае поўны аналіз зыходнага кода, бібліятэкі з адкрытым зыходным кодам, інфраструктура як код і CI/CD логіка. Яна працуе ў pull requests, pipelineі пасля аб'яднання, каб нічога не праслізнула.
Спалучаючы бяспечныя практыкі распрацоўшчыкаў з пастаянным аўтаматызаваным сканаваннем, вы можаце ператварыць GitHub у бяспечнае па змаўчанні асяроддзе. Вам не трэба запавольвацца, каб заставацца ў бяспецы. Калі бяспека GitHub вырашаецца праактыўна, распрацоўшчыкі марнуюць менш часу на пошук памылак і больш часу на распрацоўку.
Калі ваша каманда ўжо выкарыстоўвае GitHub Advanced Security, пашырэнне яго з дапамогай такіх інструментаў, як Xygeni, дасць вам поўную бачнасць на працягу ўсяго жыццёвага цыклу распрацоўкі праграмнага забеспячэння, ад кода да воблака.
Дайце мне ведаць, калі вы будзеце гатовыя да наступнага раздзела, або калі вы хочаце, каб гэта было асобным артыкулам або падручнікам.
Як абараніць дзеянні GitHub Pipelines
Дзеянні GitHub — адна з самых магутных функцый, якія прапануе GitHub. CI/CDале з гэтай сілай прыходзіць рызыка. Няправільна настроеныя працоўныя працэсы могуць leak secretс, токены з перавышэннем дазволаў або дазваляць выкананне ненадзейнага кода. Каб абараніць свой pipelineс, выканайце наступныя дзеянні:
- Выкарыстоўваць найменшыя прывілеі для токенаў
Дзеянні па змаўчанні атрымліваюць GITHUB_TOKEN. Абмяжуйце яго дыяпазон доступу да мінімуму, неабходнага для задання. Пазбягайце выкарыстання асабістых токенаў доступу, калі ў гэтым няма абсалютнай неабходнасці. - Замацаваць усе дзеянні трэціх бакоў з дапамогай SHA
Спасылкі на дзеянні з дапамогай @main або @latest робяць вас уразлівымі для атак ланцужкоў паставак. Заўсёды прымацоўвайце версіі да пэўнага commit. - Праверце ўсе ўваходныя дадзеныя і ачысціце іх ад форкаў
грамадскага pull requests можа запускаць працоўныя працэсы. Перад запускам пераканайцеся, што гэтыя працоўныя працэсы правяраюцца, і ніколі не давярайце неправераным уваходным дадзеным на этапах разгортвання. - Падзяліце канфідэнцыйныя і неканфідэнцыйныя працоўныя працэсы
Не дазваляйце знешнім удзельнікам запускаць працоўныя працэсы, якія разгортваюць інфраструктуру або публікуюць пакеты. - Сканіраванне азначэнняў працоўных працэсаў на наяўнасць рызык
Пашыраная бяспека GitHub сканцэнтравана на кодзе, а не на логіцы неперарыўнай інтэграцыі. Xygeni дапаўняе яе, скануючы файлы .yml працоўнага працэсу на наяўнасць небяспечных шаблонаў, адмацаваных дзеянняў і празмернага выкарыстання токенаў. Гэта дапамагае вам выконваць палітыкі бяспекі GitHub ва ўсёй вашай аўтаматызацыі.
Па змаўчанні GitHub прапануе вам базавыя інструменты. Каб абараніцца ад злоўжыванняў працоўным працэсам і павышэння прывілеяў, большасць каманд, якія ўважліва ставяцца да бяспекі, забяспечваюць пастаяннае выкананне палітык.
як Commit на GitHub
Git commit гэта не проста кантрольная кропка кантролю версій. Гэта патэнцыйная кропка ўваходу для сакрэтаў, небяспечнага кода або неадпаведных змяненняў. Вось як гэта зрабіць бяспечна:
- Праверце, што вы рыхтуеце, перш чым commitрэч
Выкарыстоўвайце git status і git diff, каб пераканацца, што ніякія канфідэнцыйныя файлы або ўліковыя дадзеныя не адсочваюцца. - Пішыце змястоўна, падпішыце commit паведамлення
падпісаны commitдапамагаюць забяспечыць цэласнасць аўтарства, асабліва ў рэгуляваным асяроддзі. - Выкарыстоўваць pre-commit hooks або праверкі CI
Аўтаматызуйце праверкі, каб прадухіліць раскрыццё сакрэтаў або няправільных канфігурацый commitТэд. - Строга ўжывайце .gitignore
Выключыце часовыя файлы, уліковыя дадзеныя і лакальныя файлы канфігурацыі, якія ніколі не павінны пакідаць ваш камп'ютар.
Xygeni дадае каштоўнасць дзякуючы інтэграцыі з GitHub pull requests і commitс. Ён скануе змесціва вашага commitдля сакрэтаў, уразлівага кода, няправільных канфігурацый і небяспечных бібліятэк з адкрытым зыходным кодам. Гэта дазваляе распрацоўшчыкам выпраўляць праблемы загадзя, перш чым яны стануць інцыдэнтамі бяспекі.
Як аб'яднаць галіны ў GitHub
Аб'яднанне кода — гэта звычайны крок у распрацоўцы, але яно можа прывесці да ўразлівасцей, калі выконваецца без кантролю. Каб знізіць рызыку падчас аб'яднання:
- Выкарыстоўваць pull requests з правіламі абароны філіялаў
Патрабаваць узгадненні, праходжанне праверак статусу і праверку кода перад дазволам зліцця ў асноўны код. - Аўтаматызаваць сканаванне бяспекі ў PR pipeline
Перад аб'яднаннем выканайце статычны аналіз кода, выяўленне сакрэтаў і праверкі залежнасцей. - Выберыце правільную стратэгію зліцця
Здушванне commitдапамагае стварыць чыстую гісторыю і пазбегнуць пераносу выпадковых уліковых дадзеных або канфідэнцыйных дадзеных у старыя commits. - Аб'яднанне блокаў пры выяўленні крытычных рызык
Наладзьце свой pipeline збіваць зборкі пры няўдачы сканавання бяспекі.
Пашыраная бяспека GitHub дазваляе ўключыць некаторыя з гэтых абарон, але такія інструменты, як Xygeni, забяспечваюць выкананне палітыкі на этапе зліцця. Яна скануе PR на наяўнасць праблем бяспекі, блакуе небяспечныя зліцці і гарантуе... CI/CD працоўныя працэсы адпавядаюць палітыкам вашай арганізацыі.
Патрэбна поўнае кіраўніцтва?
Чытайце, як бяспечна аб'ядноўваць файлы ў GitHub з дапамогай сканаванняў і guardrails
Што такое рэпазітар GitHub
Рэпазітар GitHub — гэта месца, дзе захоўваецца ваш праект. Ён змяшчае вашу кодавую базу, commit гісторыя, дакументацыя, працоўныя працэсы неперарыўнай інтэграцыі і файлы канфігурацыі. Незалежна ад таго, публічнае яно ці прыватнае, рэпазітар павінен разглядацца як канфідэнцыйны актыў.
Вось як забяспечыць бяспеку рэпазіторыяў:
- Выкарыстоўвайце прыватныя рэпазіторыі калі не патрабуецца публічны доступ
- Абмежаваць доступ супрацоўнікаў толькі да таго, што патрэбна
- Маніторынг сакрэтаў, шкоднасных праграм, or няправільныя канфігурацыі рэгулярна
- Абараніце галіны па змаўчанні з правіламі і водгукамі
Пашыраная бяспека GitHub дадае такія функцыі, як аналіз залежнасцей і сканаванне кода. Аднак, калі вам патрэбна поўная інфармацыя пра жыццёвы цыкл рэпазітара: у тым ліку IaC, пакеты іншых распрацоўшчыкаў і дзеянні GitHub. Xygeni забяспечвае бесперапынны маніторынг і поўнае сканаванне.
Што такое дзеянні GitHub
Дзеянні GitHub дапамагаюць аўтаматызаваць задачы ў вашым рэпазітарыі. Напрыклад, вы можаце запускаць тэсты, калі хтосьці адкрывае pull request, разгарніце сваё прыкладанне пасля адпраўкі або праскануйце свой код з дапамогай інструментаў бяспекі — аўтаматычна.
Каб абараніць дзеянні GitHub:
- Захоўвайце кантроль версій працоўных працэсаў і правераны як код
- Пазбягайце прадастаўлення правоў на запіс калі толькі гэта відавочна не патрабуецца
- Pin кожны дзеянні трэціх асоб сваім SHA
- Апрацоўка працоўных працэсаў як частка вашага паверхня атакі
Пашыраная бяспека GitHub скануе ваш код, але не вашы працоўныя працэсы. Вось тут і дапамагае Xygeni. Яна правярае кожны файл працоўнага працэсу (.yml) на наяўнасць слабых налад, небяспечных дзеянняў або занадта шырокіх дазволаў. Гэта дапамагае вашай камандзе прытрымлівацца найлепшых практык і забяспечваць бяспеку вашых дзеянняў GitHub.
Ці бяспечныя старонкі GitHub
