GitHub上 安全性在现代 DevOps 中扮演着至关重要的角色。随着团队越来越依赖 GitHub 进行代码协作、自动化和 CI/CD，他们也面临着新的风险，例如机密信息泄露、工作流程配置错误、依赖关系易受攻击以及合并不安全。因此，了解如何有效地保护你的 GitHub 环境至关重要。本常见问题解答解答了开发者最常见的问题，并解释了 GitHub Advanced Security 如何与 Xygeni 等工具一起，帮助你保护项目的每个阶段。 pipeline。此外，您还会找到有关分支保护、应用程序安全和安全 GitHub Actions 等主题的详细指南链接，以便您可以在需要时深入了解。
如何安全地使用 GitHub
使用 GitHub Advanced Security 意味着将安全性融入工作流程的每一步。这不仅是为了保护代码库，也是为了降低身份、机密、自动化和供应链依赖关系方面的风险。尽早嵌入安全性，团队就可以快速行动，而不会影响质量。
以下最佳实践可帮助开发人员在 GitHub 上安全地工作：
启用双重身份验证 (2FA)
只需一个密码被盗就足以造成损失。通过对所有账户进行双重身份验证，可以显著降低未经授权访问的风险。
避免 commit将秘密保存到你的存储库
API 密钥、令牌和密码等机密信息绝不能存储在 Git 中。即使是私有仓库，如果开发人员意外推送 .env 文件或配置文件，也可能导致信息泄露。GitHub Advanced Security 可以扫描暴露的机密信息，而 Xygeni 则通过在合并前检测机密信息、验证其使用情况，甚至在必要时触发自动撤销和警报，提供额外的保护。
使用 .gitignore 防止敏感文件被版本控制
排除包含机密信息的本地环境文件、凭证、SSH 密钥或配置文件。这可以降低在 commit or pull request.
设置分支保护规则
要求进行状态检查、强制 PR 审批，并阻止直接推送到主分支。这些控制措施对于防止未经审核或存在漏洞的代码进入生产环境至关重要。
定期审查存储库可见性和访问权限
除非有充分理由公开，否则存储库应默认为私有。在共享环境中，应授予开发人员执行其工作所需的最低访问权限。
审核您的 GitHub Actions 工作流程
工作流程经常被忽视，但它们是攻击面的一部分。始终通过以下方式固定第三方操作 commit SHA，避免对令牌进行不必要的写入权限，并验证输入。Xygeni 可以扫描每个工作流文件，查找错误配置、过多权限或风险模式。它与您的 GitHub 集成 pipeline 在合并之前阻止不安全的工作流程。
扫描代码、依赖项、机密和 IaC 自动
人工审核远远不够。GitHub Advanced Security 提供了代码和依赖项扫描功能，但大多数团队需要更广泛的覆盖范围。Xygeni 补充道 跨源代码的全栈分析、开源库、基础设施即代码以及 CI/CD 逻辑。它运行在 pull requests, pipelines，并进行后合并以确保没有任何事情发生。
通过将安全的开发者实践与持续的自动化扫描相结合，您可以将 GitHub 转变为一个默认安全的环境。您无需放慢速度即可保持安全。当 GitHub 安全得到主动处理时，开发人员可以减少追踪错误的时间，从而将更多时间投入到开发中。
如果您的团队已经在使用 GitHub Advanced Security，那么使用 Xygeni 等工具进行扩展可以让您全面了解从代码到云的整个软件开发生命周期。
当您准备好下一部分时，或者如果您希望将其变成独立的文章或教程，请告诉我。
如何保护 GitHub Actions Pipelines
GitHub Actions 是 GitHub 提供的最强大的功能之一 CI/CD但权力越大，风险也越大。配置错误的工作流程可能会造成严重后果。 leak secret过度授权令牌或允许执行不受信任的代码。为了保护您的安全，请检查您的帐户。 pipelines，请按照下列步骤操作：
- 对令牌使用最低权限
操作默认会收到一个 GITHUB_TOKEN。请将其访问范围限制在任务所需的最小范围内。除非绝对必要，否则请避免使用个人访问令牌。 - 通过 SHA 固定所有第三方操作
使用 @main 或 @latest 引用操作可能会使您容易受到供应链攻击。始终将版本固定到特定 commit. - 验证所有输入并清理来自分叉的数据
公共 pull requests 可以触发工作流。请确保这些工作流在运行前经过审核，并且切勿在部署步骤中信任未经验证的输入。 - 拆分敏感和非敏感工作流程
不允许外部贡献者触发部署基础设施或发布包的工作流程。 - 扫描工作流定义以查找风险
GitHub Advanced Security 专注于代码，而非 CI 逻辑。Xygeni 通过扫描工作流程 .yml 文件来查找不安全模式、未固定的操作以及令牌过度使用，从而对其进行补充。这有助于您在整个自动化过程中强制执行 GitHub Security 策略。
GitHub 默认提供基础工具。为了防止工作流程滥用和权限提升，大多数注重安全的团队都会采用持续策略执行的措施。
如何 Commit 到GitHub
混蛋 commit 不仅仅是一个版本控制检查点。它还是机密信息、不安全代码或不合规更改的潜在入口点。以下是如何安全地执行此操作：
- 检查一下你之前准备的内容 commit婷
使用 git status 和 git diff 来验证没有跟踪敏感文件或凭据。 - 写有意义的、签名的 commit 条未读消息
签名 commit有助于确保作者的完整性，特别是在受监管的环境中。 - 绝大部分储备使用 pre-commit hooks 或 CI 检查
自动检查以防止机密或错误配置被泄露 commit特德。 - 严格应用 .gitignore
排除不应离开您的机器的临时文件、凭据和本地配置文件。
Xygeni 通过与 GitHub 集成增加了价值 pull requests 以及 commits. 它会扫描你的 commit机密信息、易受攻击的代码、错误配置以及不安全的开源库。这使得开发人员能够在问题演变成安全事故之前尽早修复它们。
如何在 GitHub 中合并分支
合并代码是开发过程中的常规步骤，但如果缺乏控制，可能会引入漏洞。为了降低合并过程中的风险，请执行以下操作：
- 绝大部分储备使用 pull requests 具有分支保护规则
在允许合并到主分支之前，需要获得批准、通过状态检查和代码审查。 - 在 PR 中自动执行安全扫描 pipeline
在合并之前运行静态代码分析、秘密检测和依赖性检查。 - 选择正确的合并策略
挤压 commits 有助于创建干净的历史记录，并避免在旧版本中意外转移凭据或敏感数据 commits. - 如果检测到严重风险，则阻止合并
设置你的 pipeline 当安全扫描失败时构建也会失败。
GitHub Advanced Security 允许你启用部分保护措施，但 Xygeni 等工具会在合并门阶段强制执行策略。它会扫描 PR 是否存在安全问题，阻止不安全的合并，并确保 CI/CD 工作流程符合您组织的政策。
需要完整的演练吗？
了解如何通过扫描和 guardrails
什么是 GitHub 存储库
GitHub 仓库是你的项目所在的地方。它包含你的代码库， commit 历史记录、文档、CI 工作流程和配置文件。无论是公共还是私有，存储库都应被视为敏感资产。
以下是如何保证存储库安全的方法：
- 使用私有存储库 除非需要公开访问
- 限制合作者访问 只提供所需内容
- 监控机密、恶意软件、 or 错误配置 经常
- 保护默认分支 有规则和评论
GitHub Advanced Security 增加了依赖项洞察和代码扫描等功能。但是，如果您想要全面覆盖存储库生命周期，请包括： IaC、第三方软件包和 GitHub Actions。Xygeni 提供持续监控和全栈扫描。
什么是 GitHub Actions
GitHub Actions 可帮助您自动执行代码库中的任务。例如，您可以在有人打开 pull request，在推送后部署您的应用程序，或使用安全工具扫描您的代码——自动。
为了保证 GitHub Actions 的安全：
- 保持工作流程的版本控制 并像代码一样进行审查
- 避免授予写权限 除非明确需要
- 置顶 每周 第三方诉讼 通过其 SHA
- 处理工作流程 作为你的一部分 攻击面
GitHub Advanced Security 会扫描您的代码，但不会扫描您的工作流程。Xygeni 正是为此而生。它会检查每个工作流程文件 (.yml) 中是否存在弱设置、不安全的操作或权限过宽的情况。它可以帮助您的团队遵循最佳实践，并确保您的 GitHub Actions 安全无虞。
GitHub Pages 安全吗
