Исправление оповещений
После фиксации секрета в репозитории следует считать секрет скомпрометированным. GitHub рекомендует следующие действия для скомпрометированных секретов:
- Убедитесь, что секрет зафиксирован GitHub .
Применяется только к GitHub маркерам. Ознакомьтесь с проверкой допустимости секрета и выполнение проверки допустимости по запросу.
- Для секретов, обнаруженных в частных репозиториях, сообщите утечку секрета GitHub, который будет относиться к нему как любой публично утечки секрета и отозвать его. Применимо к активным или неподтвержденным GitHubpersonal access tokenтолько. См. Сообщение о утечке секрета в частном хранилище.
- Просмотрите и обновите все службы, использующие старый маркер. Для GitHubpersonal access tokens удалите скомпрометированный маркер и создайте новый маркер. См . раздел AUTOTITLE.
- В зависимости от поставщика секретов проверьте журналы безопасности для любых несанкционированных действий.
Сообщение о утечке секрета в частном хранилище
Примечание.
Сообщить о закрытом секрете GitHub находится в Публичный предварительный просмотр и подлежит изменению. В настоящее время эта функция доступна только для GitHubpersonal access tokens (версии 1 и 2).
-
На GitHubперейдите на главную страницу репозитория.
-
Под названием репозитория нажмите на Security and quality вкладку. Если вы не видите вкладку « Security and quality» — выберите выпадающее меню и нажмите Security and quality.
-
В левой боковой панели, в разделе «Оповещения о уязвимости», нажмите Secret scanning.
-
В списке оповещений щелкните оповещение, которое вы хотите просмотреть.
-
В представлении оповещений для утечки секрета щелкните "Отчет утечки".
Примечание.
Чтобы предотвратить критические рабочие процессы, рассмотрите возможность смены секрета перед продолжением, так как раскрытие его может привести к отмене секрета. Если это возможно, вы также должны обратиться к владельцу токена, чтобы сообщить им об утечке и координации плана исправления.
-
Просмотрите сведения в диалоговом окне, а затем щелкните "Я понимаю последствия", сообщите об этом секрете.
Закрытие оповещений
Примечание.
Secret scanning не закрывает оповещения автоматически при удалении соответствующего маркера из репозитория. Эти оповещения необходимо закрыть вручную в списке GitHubоповещений.
-
На GitHubперейдите на главную страницу репозитория.
-
Под названием репозитория нажмите на Security and quality вкладку. Если вы не видите вкладку « Security and quality» — выберите выпадающее меню и нажмите Security and quality.
-
В левой боковой панели, в разделе «Оповещения о уязвимости», нажмите Secret scanning.
-
В разделе «Secret scanning», нажмите на уведомление, которое хотите просмотреть.
-
Чтобы закрыть оповещение, выберите раскрывающееся меню "Закрыть как" и щелкните причину разрешения оповещения.
-
При необходимости в поле "Комментарий" добавьте комментарий о закрытии. Комментарий о закрытии будет добавлен на временную шкалу оповещений, и он может использоваться в качестве обоснования для аудита или отчетов.
-
Нажмите кнопку "Закрыть оповещение".
