23 октября GitHub добавил в public monitoring инструменты обработки предупреждений об утечках секретов: управление состоянием, проверки активности и интеграции. На Mentoring.digital объясняем, почему закрытая карточка ещё не означает обезвреженный токен.
Предупреждения можно разбирать на панели предприятия
В панели безопасности появились закрытие и повторное открытие предупреждений, комментарии и история действий. Фильтры позволяют выделять находки по репозиторию, автору коммита, типу секрета, способу привязки и состоянию.
Закрытие меняет состояние предупреждения для предприятия. Оно не отзывает раскрытые учётные данные и не удаляет их из публичного репозитория. Решение по ключу и решение по карточке инцидента должны оставаться разными шагами процесса.
Проверка активности помогает определить приоритет
Для поддерживаемых поставщиков public monitoring автоматически проверяет действительность токенов и показывает состояния Active, Inactive или Unknown. Последнее не следует читать как подтверждение безопасности: статус не даёт уверенного вывода об активности.
Редакционный вывод: при обработке предупреждения сначала установите его связь с вашей системой и ответственного, затем разберите доступные сведения о действительности секрета. Запись о завершении работы должна опираться на выполненные действия, а не только на цвет статуса.
Находки можно передавать в процесс реагирования
GitHub добавил REST API для чтения привязанных находок и корпоративное событие webhook secret_scanning_public_monitoring_alert. Это позволяет включать предупреждения в собственную систему обработки. Полученное уведомление не заменяет проверку того, что дальнейший шаг процесса действительно выполнен.
Возможность остаётся в public preview для GitHub Enterprise Cloud, включая вариант с data residency. В анонсе указаны лицензии GitHub Advanced Security или GitHub Secret Protection и отсутствие дополнительной платы сверх соответствующей лицензии.
До внедрения интеграции определите, кто принимает находку, как фиксируется отзыв ключа и что означает закрытие карточки. Настройку безопасного процесса можно обсудить с DevOps-наставником. В статье разобран анонс, доступ к секретам пользователя не выполнялся.
