22 октября GitHub объявил public preview функции public monitoring для GitHub Enterprise Cloud с data residency. Она ищет раскрытые учётные данные за пределами внутренних репозиториев компании. На Mentoring.digital объясняем, как устроена привязка предупреждений к организации.
Проверяются публичные коммиты на github.com
Public monitoring расширяет область secret scanning: сервис наблюдает за публичными коммитами и связывает обнаруженные раскрытые учётные данные с предприятием. Это отдельный сценарий от поиска секретов только внутри корпоративных репозиториев.
Для окружений с data residency привязка основана исключительно на совпадении с подтверждённым доменом. Когда почта автора коммита соответствует домену, который предприятие подтвердило, предупреждение шифруется и доставляется на его панель безопасности.
Граница региона сохраняется
Списки участников предприятия не передаются через границу между изолированным окружением data residency и github.com. В анонсе GitHub прямо связывает выбор механизма подтверждённых доменов с этой изоляцией. Данные предупреждения остаются в выбранной географии.
Практическое следствие: перед включением функции стоит проверить подтверждённые домены. Нельзя считать её универсальным способом установить связь любого публичного коммита с любым сотрудником.
Кто может включить предварительную возможность
Нужна активная лицензия GitHub Advanced Security или GitHub Secret Protection. Функция включается в настройках безопасности предприятия администратором или enterprise security manager. По анонсу дополнительной платы сверх соответствующей лицензии нет.
Редакционная рекомендация: заранее определите ответственного за поступающие предупреждения и порядок проверки найденных секретов. Наличие предупреждения само по себе не означает, что реагирование завершено. Организацию такого процесса можно обсудить с ментором по DevOps.
