GitHub Drošībai ir kritiski svarīga loma mūsdienu DevOps vidē. Tā kā komandas arvien vairāk paļaujas uz GitHub koda sadarbībai, automatizācijai un CI/CD, tie saskaras arī ar jauniem riskiem, piemēram, nopludinātiem noslēpumiem, nepareizi konfigurētām darbplūsmām, neaizsargātām atkarībām un nedrošām apvienošanām. Tāpēc ir svarīgi saprast, kā efektīvi aizsargāt savu GitHub vidi. Šajā bieži uzdoto jautājumu sadaļā ir atbildēts uz visbiežāk uzdotajiem izstrādātāju jautājumiem un paskaidrots, kā GitHub Advanced Security kopā ar tādiem rīkiem kā Xygeni var palīdzēt aizsargāt katru jūsu uzņēmuma posmu. pipelineTurklāt jūs atradīsiet saites uz detalizētām rokasgrāmatām par tādām tēmām kā filiāļu aizsardzība, lietotņu drošība un drošas GitHub darbības, lai jūs varētu iedziļināties sīkāk, kad vien nepieciešams.
Kā droši lietot GitHub
GitHub Advanced Security izmantošana nozīmē drošības integrēšanu katrā jūsu darbplūsmas posmā. Tas nav tikai par koda bāzes aizsardzību. Tas nozīmē arī risku samazināšanu saistībā ar identitāti, noslēpumiem, automatizāciju un piegādes ķēdes atkarībām. Kad drošība tiek iestrādāta laikus, komandas var ātri strādāt, neapdraudot kvalitāti.
Šīs labākās prakses palīdz izstrādātājiem droši strādāt pakalpojumā GitHub:
Iespējot divu faktoru autentifikāciju (2FA)
Pietiek ar vienu uzlauztu paroli. Pieprasot 2FA visiem kontiem, jūs ievērojami samazināt neautorizētas piekļuves risku.
Izvairīties commitnoslēpumu pievienošana jūsu krātuvei
Noslēpumus, piemēram, API atslēgas, žetonus un paroles, nekad nedrīkst glabāt Git. Pat privātās krātuvēs var rasties noplūdes, ja izstrādātājs nejauši ievieto .env failu vai konfigurācijas failu. Lai gan GitHub Advanced Security var skenēt, vai ir atklāti noslēpumi, Xygeni nodrošina papildu aizsardzību, atklājot noslēpumus pirms apvienošanas, validējot to izmantošanu un pat aktivizējot automātisku atsaukšanu un brīdinājumu, ja nepieciešams.
Izmantojiet .gitignore, lai novērstu sensitīvu failu versiju veidošanu
Izslēdziet lokālās vides failus, akreditācijas datus, SSH atslēgas vai konfigurācijas failus, kas satur slepenus datus. Tas samazina nejaušas informācijas atklāšanas iespējamību. commit or pull request.
Iestatiet filiāles aizsardzības noteikumus
Pieprasīt statusa pārbaudes, ieviest sabiedrisko attiecību apstiprinājumus un bloķēt tiešus sūtījumus uz galvenajām filiālēm. Šīs kontroles ir būtiskas, lai novērstu nepārskatīta vai neaizsargāta koda nonākšanu ražošanas vidē.
Regulāri pārskatiet repozitorija redzamību un piekļuves atļaujas
Repozitorijiem pēc noklusējuma jābūt privātiem, ja vien nav nopietna iemesla tos padarīt publiskus. Koplietotās vidēs izstrādātājiem jāpiešķir minimālā piekļuve, kas nepieciešama viņu darba veikšanai.
GitHub Actions darbplūsmu audits
Darbplūsmas bieži tiek ignorētas, taču tās ir daļa no jūsu uzbrukuma virsmas. Vienmēr piespraudiet trešo pušu darbības, commit SHA, izvairieties no nevajadzīgām rakstīšanas atļaujām tokeniem un validējiet ievades datus. Xygeni šeit palīdz, skenējot katru darbplūsmas failu, lai atrastu nepareizas konfigurācijas, pārmērīgas atļaujas vai riskantus modeļus. Tas integrējas ar jūsu GitHub. pipeline lai apturētu nedrošas darbplūsmas pirms to apvienošanas.
Skenējiet kodu, atkarības, noslēpumus un IaC automātiski
Manuālas pārskatīšanas nav pietiekamas. GitHub Advanced Security nodrošina koda un atkarību skenēšanu, taču lielākajai daļai komandu ir nepieciešams plašāks pārklājums. Xygeni piebilst. pilna steka analīze visā pirmkodā, atvērtā pirmkoda bibliotēkas, infrastruktūra kā kods un CI/CD loģika. Tā darbojas pull requests, pipelines, un pēc apvienošanas, lai nodrošinātu, ka nekas nepaliek nepamanīts.
Apvienojot drošas izstrādātāju prakses ar nepārtrauktu, automatizētu skenēšanu, jūs varat pārvērst GitHub par drošu pēc noklusējuma vidi. Jums nav jāsamazina ātrums, lai saglabātu drošību. Kad GitHub drošība tiek pārvaldīta proaktīvi, izstrādātāji pavada mazāk laika kļūdu meklēšanā un vairāk laika izstrādei.
Ja jūsu komanda jau izmanto GitHub Advanced Security, tā paplašināšana ar tādiem rīkiem kā Xygeni sniedz pilnīgu pārskatāmību visā programmatūras izstrādes dzīves ciklā, sākot no koda līdz mākonim.
Dodiet man ziņu, kad esat gatavs nākamajai sadaļai vai arī, ja vēlaties, lai šī sadaļa tiktu pārveidota par atsevišķu rakstu vai pamācību.
Kā nodrošināt GitHub darbību drošību? Pipelines
GitHub Actions ir viena no jaudīgākajām GitHub piedāvātajām funkcijām. CI/CD, taču līdz ar šo jaudu nāk arī risks. Nepareizi konfigurētas darbplūsmas var leak secrets, pārmērīgas atļaujas žetonus vai neuzticama koda izpildes atļaušanu. Lai nodrošinātu savu pipelines, veiciet tālāk norādītās darbības:
- Izmantot vismazākās privilēģijas žetoniem
Darbības pēc noklusējuma saņem GITHUB_TOKEN. Ierobežojiet tā piekļuves tvērumu līdz uzdevumam nepieciešamajam minimumam. Izvairieties no personīgo piekļuves žetonu izmantošanas, ja vien tas nav absolūti nepieciešams. - Piespraust visas trešo pušu darbības, izmantojot SHA
Atsauces uz darbībām, izmantojot @main vai @latest, padara jūs neaizsargātu pret piegādes ķēdes uzbrukumiem. Vienmēr piespraudiet versijas konkrētam commit. - Validēt visus ievades datus un dezinficēt datus no atzarojumiem (forkiem)
valsts pull requests var aktivizēt darbplūsmas. Pirms šo darbplūsmu palaišanas pārliecinieties, vai tās tiek pārskatītas, un izvietošanas posmos nekad neuzticieties nevalidētām ievades vērtībām. - Atdalīt sensitīvas un nesensitīvas darbplūsmas
Neļaujiet ārējiem līdzstrādniekiem aktivizēt darbplūsmas, kas izvieto infrastruktūru vai publicē pakotnes. - Darbplūsmas definīciju skenēšana, lai noteiktu riskus
GitHub Advanced Security koncentrējas uz kodu, nevis CI loģiku. Xygeni to papildina, skenējot darbplūsmas .yml failus, lai atrastu nedrošus modeļus, nepiespraustas darbības un pilnvaru pārmērīgu izmantošanu. Tas palīdz jums ieviest GitHub drošības politikas visā automatizācijā.
Pēc noklusējuma GitHub nodrošina pamata rīkus. Lai aizsargātu pret darbplūsmas ļaunprātīgu izmantošanu un privilēģiju eskalāciju, lielākā daļa drošību apzinošu komandu iekļauj nepārtrauktu politikas ieviešanu.
kā uz Commit uz GitHub
Git commit nav tikai versiju kontroles kontrolpunkts. Tas ir potenciāls ieejas punkts noslēpumiem, nedrošam kodam vai neatbilstošām izmaiņām. Lūk, kā to izdarīt droši:
- Pirms tam pārbaudiet, ko jūs iestudējat commitTing
Izmantojiet `git status` un `git diff`, lai pārbaudītu, vai netiek izsekoti sensitīvi faili vai akreditācijas dati. - Rakstiet jēgpilnu, parakstītu commit ziņas
Parakstīts commitpalīdz nodrošināt autorības integritāti, īpaši regulētā vidē. - lietošana pre-commit hooks vai CI pārbaudes
Automatizējiet pārbaudes, lai novērstu slepenu atslēgu vai nepareizu konfigurāciju izmantošanu. committē. - Stingri lietojiet .gitignore
Izslēdziet pagaidu failus, akreditācijas datus un lokālos konfigurācijas failus, kuriem nekad nevajadzētu atstāt jūsu datoru.
Xygeni šeit pievieno vērtību, integrējoties ar GitHub pull requests un commits. Tas skenē jūsu saturu commits slepenajiem kodiem, ievainojamam kodam, nepareizām konfigurācijām un nedrošām atvērtā pirmkoda bibliotēkām. Tas ļauj izstrādātājiem novērst problēmas agrīnā stadijā, pirms tās kļūst par drošības incidentiem.
Kā apvienot filiāles pakalpojumā GitHub
Koda apvienošana ir ierasta izstrādes darbība, taču, ja to veic bez kontroles, tā var radīt ievainojamības. Lai samazinātu risku apvienošanas laikā:
- lietošana pull requests ar filiāles aizsardzības noteikumiem
Pirms apvienošanas atļaušanas galvenajā sarakstā pieprasīt apstiprinājumus, statusa pārbaužu nokārtošanu un koda pārskatīšanu. - Automatizējiet drošības skenēšanu PR sistēmā pipeline
Pirms apvienošanas veiciet statiskā koda analīzi, slepeno kodu noteikšanu un atkarību pārbaudes. - Izvēlieties pareizo apvienošanas stratēģiju
Saspiešana commitpalīdz izveidot tīru vēsturi un novērš nejaušu akreditācijas datu vai sensitīvu datu pārnešanu vecākās sistēmās. commits. - Bloķēt apvienošanu, ja tiek konstatēti kritiski riski
Iestatiet savu pipeline neizdoties veidot, ja drošības skenēšana neizdodas.
GitHub Advanced Security ļauj iespējot dažus no šiem aizsardzības līdzekļiem, taču tādi rīki kā Xygeni ievieš politiku apvienošanas vārtejā. Tas skenē PR, lai noteiktu drošības problēmas, bloķē nedrošas apvienošanas un nodrošina CI/CD darbplūsmas atbilst jūsu organizācijas politikām.
Vai nepieciešama pilnīga pamācība?
Lasiet par to, kā droši apvienot GitHub ar skenējumiem un guardrails
Kas ir GitHub repozitorijs
GitHub repozitorijs ir vieta, kur atrodas jūsu projekts. Tajā ir jūsu koda bāze, commit vēsture, dokumentācija, CI darbplūsmas un konfigurācijas faili. Neatkarīgi no tā, vai repozitorijs ir publisks vai privāts, tas jāuzskata par sensitīvu resursu.
Lūk, kā nodrošināt krātuvju drošību:
- Izmantojiet privātās krātuves ja vien nav nepieciešama publiska piekļuve
- Ierobežot līdzstrādnieku piekļuvi tikai tam, kas nepieciešams
- Uzraugiet noslēpumus, ļaunprogrammatūru, or nepareizas konfigurācijas Regulāri
- Aizsargāt noklusējuma zarus ar noteikumiem un atsauksmēm
GitHub Advanced Security pievieno tādas funkcijas kā atkarību analīze un koda skenēšana. Tomēr, ja vēlaties pilnīgu repozitorija dzīves cikla pārskatu: tostarp IaC, trešo pušu pakotnes un GitHub darbības. Xygeni nodrošina nepārtrauktu uzraudzību un pilna steka skenēšanu.
Kas ir GitHub darbības?
GitHub Actions palīdz automatizēt uzdevumus jūsu repozitorijā. Piemēram, varat veikt testus, kad kāds atver pull request, izvietojiet lietotni pēc pieprasījuma vai skenējiet kodu ar drošības rīkiem — automātiski.
Lai nodrošinātu GitHub darbību drošību:
- Saglabājiet darbplūsmu versiju kontroli un pārskatīts līdzīgs kods
- Izvairieties piešķirt rakstīšanas atļaujas ja vien tas nav tieši nepieciešams
- tapa ik trešās puses darbība pēc tā ŠA
- Apstrādājiet darbplūsmas kā daļa no jūsu uzbrukuma virsma
GitHub Advanced Security skenē jūsu kodu, bet ne jūsu darbplūsmas. Šeit palīdz Xygeni. Tas pārbauda katru darbplūsmas failu (.yml), lai atrastu vājus iestatījumus, nedrošas darbības vai pārāk plašas atļaujas. Tas palīdz jūsu komandai ievērot labāko praksi un nodrošināt jūsu GitHub darbību drošību.
Vai GitHub lapas ir drošas?
