シークレットリスク評価結果の解釈

イントロダクション

このチュートリアルでは、シークレットリスク評価の結果を解釈し、次の方法を学習します。

ダッシュボードのリスクメトリックを理解する
リスクの高いシークレットリークを特定する
修復のためにシークレットに優先順位を付ける

前提条件

secret risk assessment レポートを生成し、スキャンが完了するまで待つ必要があります。「組織のシークレットリスク評価の実行」をご覧ください。

手順 1: ダッシュボードのメトリックを理解する

評価が完了したら、ダッシュボードの上部にある主要なメトリックを確認します。

        **シークレットの合計数**: 組織全体で検出されたシークレット リークの合計数

        **パブリック リーク**: **パブリック** リポジトリで見つかった個別のシークレット

        **防止可能なリーク**: 保護対策で防げた可能性のあるリーク

また、シークレットの合計数からパブリックリークの数を差し引くことで、 プライベートリポジトリ で見つかったシークレットの数を確認することもできます。これらのシークレットの修復はすぐに重要ではありませんが、他のユーザーがリポジトリへの不正アクセスを取得した場合や、リポジトリが公開された場合は、リスクが引き続き発生します。

手順 2: シークレットカテゴリを理解する

          **[シークレット**カテゴリ] セクションを見て、**漏洩したシークレットの種類を理解します**。

* プロバイダーパターン: 既知のサービスの特定のシークレット形式 (AWS、Azure、GitHub トークン) * 汎用パターン: 秘密キー、API キー、パスワードなどの一般的なシークレット形式

プロバイダーパターンは、多くの場合、それらが属しているサービスを正確に把握しているため、識別と取り消しが簡単になります。一般的なパターンでは、より多くの調査が必要になる場合があります。

手順 3: 影響を受けるリポジトリの数を特定する

リークメトリック を含むリポジトリ を確認します。これは、シークレットリークが含まれるリポジトリの数を示しています。

高い割合のリポジトリにリークが含まれている場合は、次を示している可能性があります。

シークレット管理に関する広範なカルチャの問題
組織全体のトレーニングの必要性
コミット前にシークレットをブロックするプッシュ保護などのガードレールが見つからない

リークが含まれるリポジトリが少数の場合は、次のことができます。

特定のチームに修復作業を集中させる
リーク情報を使用して、リスクの高い領域であるリポジトリを特定する

手順 4: 漏洩したシークレットを種類別に確認する

下部までスクロールして、次の内容を含む詳細な シークレットの種類 のテーブルを表示します。

        **シークレットの種類**: 特定の種類のシークレット

        **個別のリポジトリ**: この型を含む異なるリポジトリの数

        **シークレットが見つかりました**: すべてのリポジトリでこのシークレットの種類の合計数

テーブルは、最大の数で自動的に並べ替え、最大のリスクを特定するのに役立ちます。

          **同じ種類の多くのシークレット** (複数の AWS キーなど) が表示される場合は、次を示します。

開発者が環境変数を使用していない可能性がある
シークレット管理に関するドキュメントがありません

メトリックを理解したら、リスクに基づいて修復に優先順位を付けます。

最も優先度の高いシークレットは、 パブリックリポジトリ内のリークされたプロバイダーパターンです。これは次のためです。

インターネット上のすべてのユーザーがアクセス可能
多くの場合、どのサービスに属するかを把握しているため、識別と取り消しが簡単です

次に、リスクが低いシークレットに対処したり、修復にさらに広範な取り組みを必要としたりすることができます。次の場合があります。

        **パブリック リポジトリ内の一般的なパターン。パブリック リポジトリが**属するサービスまたはシステムを特定するために調査が必要になる場合があります

        **プライベート リポジトリのリーク**。直ちに低いリスクを表しますが、それでも対処する必要があります

最後に、リーク修復以外の追加の防止作業が必要になる可能性がある次のインジケーターを探します。

        **リークを伴う多くのリポジトリ**: 組織全体のトレーニングとセキュリティ意識の向上の必要性を示します

        **繰り返されるシークレットの種類**: 特定のワークフローまたはチームが対象となる介入を必要とするよう提案する

        **一般的なシークレット カテゴリ**: セキュリティの強化が必要な特定の CI/CD プロセスを指している場合があります

次のステップ

GitHub Secret Protection は、継続的な監視を行い、プッシュ保護を提供することで、残ったシークレットに対応し、今後のリークを防ぎます。 GitHub Secret Protection が組織に適しているかどうかを評価するために、有効にする前にコストを見積もることができます。「Secret Protection の価格の見積もり」をご覧ください。

この機能を使用できるユーザーについて

この記事の内容