Salaisuuksien Havaitseminen

TL;DR

Salaisuuksien havaitseminen löytää arkaluonteista tietoa, kuten API-avaimia, salasanoja, tunnuksia ja tunnistetietoja lähdekoodista, konfiguraatiotiedostoista tai lokitiedoista, auttaen estämään tahattoman paljastumisen.

Salaisuuksien havaitsemistyökalu skannaa arkistoja, putkistoja ja säilöjä auttaen estämään tietovuotoja ja luvattomia pääsyjä.

Salaisuuksien ongelmien varhainen havaitseminen auttaa suojaamaan sovelluksiasi, API-rajapintojasi ja pilvipalveluitasi hyökkääjiltä.

Mitä on Salaisuuksien Havaitseminen?

Salaisuuksien havaitseminen on prosessi, jossa skannataan koodikantoja, CI/CD-putkistoja ja pilvipalveluita paljastuneiden salaisuuksien, kuten API-avainten, tunnistetietojen, salausavainten tai tunnusten, tunnistamiseksi. Tämä on ratkaisevan tärkeää, koska hyökkääjät, kuten tunnistetietojen täyttöbotit tai pilviresurssien kaappaajat, voivat hyödyntää näitä paljastuneita salaisuuksia saadakseen luvattoman pääsyn.

Nämä “salaisuudet” käytetään usein käyttäjien todentamiseen tai yhteyden muodostamiseen palveluihin, kuten Slack-webhookeihin tai Stripe-maksu-API-rajapintoihin. Kun ne vahingossa työnnetään julkiseen arkistoon, kuten GitHubiin, hyökkääjät voivat hyödyntää niitä saadakseen pääsyn järjestelmään, tietokantaan tai pilvitiliin, johon olet yhteydessä.

Miksi Salaisuuksien Havaitseminen on Tärkeää?

Salaisuudet voivat esiintyä ympäristötiedostoissa, lähdekoodissa, YAML-konfiguraatiotiedostoissa ja CI/CD-lokeissa.

Jos salaisuudet paljastuvat, ne voivat aiheuttaa suuria tietoturvaloukkauksia.

Näiden riskien ymmärtäminen ja lieventäminen voi merkittävästi parantaa turvallisuutta ja vaatimustenmukaisuutta. Neljä suurinta riskiä ovat:

Estä luvaton pääsy: Paljastunut salainen avain voi antaa hyökkääjälle pääsyn tuotantodataan tai pilvipalveluihin.
Vältä kalliit tietomurrot: Kompromissiin joutuneet tunnistetiedot ovat yksi suurimmista tietovuotojen syistä, kuten Uberin vuoden 2022 tietomurto, joka alkoi paljastuneesta PowerShell-skriptistä, joka sisälsi kovakoodattuja tunnuksia.
Tukee vaatimustenmukaisuutta: Kehykset kuten SOC 2, GDPR ja ISO 27001 edellyttävät, että suojaat arkaluonteiset tiedot ja salaisuudet.
Vähennä inhimillisiä virheitä: Salaisuuksien havaitsemisen automatisointi auttaa löytämään vuodot ennen kuin koodi otetaan käyttöön tuotannossa, estäen suuremmat tietomurrot.

Kuinka salaisuuksien havaitseminen toimii

Salaisuuksien havaitsemistyökalut käyttävät mallintunnistusta, entropia-analyysiä ja koneoppimista paikantaakseen ja luokitellakseen arkaluonteista tietoa koodissasi tai infrastruktuurissasi.

Tyypillinen työnkulku on seuraava:

Skannaa koodi ja konfiguraatiot: Työkalu skannaa arkistoja, kontteja ja IaC (Infrastructure as Code) -malleja tunnusten ja tokenien varalta.
Tunnista malli: Se havaitsee yleiset salaisuustyypit, kuten AWS-käyttöavaimet, JWT-tokenit tai SSH-yksityiset avaimet.
Korreloi konteksti: Työkalut arvioivat, onko havaittu merkkijono todella salaisuus vai väärä hälytys.
Hälytä ja korjaa: Tiimit saavat hälytyksen, mikä mahdollistaa vaarantuneiden salaisuuksien peruuttamisen ja kierrättämisen.
Jatkuva seuranta: Integroi havaitseminen versionhallintaan tai CI/CD
jatkuvan suojauksen takaamiseksi.

Kuka käyttää salaisuuksien havaitsemista

Kehittäjät: Tunnista kovakoodatut salaisuudet ennen kuin ne sitoutetaan arkistoon.
DevSecOps-tiimit: Integroi salaisuuksien skannaus putkistoihin.
Tietoturva-asiantuntijat: Seuraa arkistoja ja kontteja vuotojen varalta.
Vaatimustenmukaisuustiimit: Varmista, että tunnistetietoja hallitaan turvallisesti.

Milloin salaisuuksien tunnistus tulisi toteuttaa?

Ennen sitoutumista (harkitse git commit-msg hookin käyttöä): Käytä pre-commit hookeja estämään salaisuuksien paljastuminen ennen niiden sitoutumista.
CI/CD
aikana (sovita git pushin kanssa): Automatisoi tunnistus jokaisen rakennuksen tai käyttöönoton yhteydessä, jotta salaisuudet voidaan havaita ennen lopullista integrointia.
Jatkuvasti (ajattele tätä osana git pull- tai post-deploy-prosessia): Seuraa säännöllisesti tuotantoympäristöä uusien paljastuneiden salaisuuksien varalta.

Esimerkki käytännössä

Kehitystiimi työntää vahingossa AWS-tunnistetiedot julkiseen GitHub-repoon. Muutaman tunnin sisällä hyökkääjät yrittävät käyttää näitä avaimia EC2-instanssien käynnistämiseen, mikä aiheuttaa noin 15 000 dollarin luvattomat kustannukset kuuden tunnin sisällä.

Kun salaisuuksien tunnistus on käytössä, järjestelmä merkitsee paljastumisen välittömästi, peruuttaa paljastuneen tunnistetiedon automaattisesti ja ilmoittaa DevSecOps-tiimille mahdollisen pilvikompromissin estämiseksi.

Salaisuuksien tunnistustyökalujen keskeiset ominaisuudet

Ominaisuus	Kuvaus
Kuvion tunnistus	Tunnistaa yleiset tunnistetietomuodot (API-avaimet, tunnukset, SSH).
Entropian skannaus	Löytää satunnaisen näköisiä merkkijonoja, jotka saattavat olla salaisuuksia.
Automaattinen peruutus	Peruuta tai kierrätä vaarantuneet tunnistetiedot.
Putkistointegraatio	Skannaa koodia automaattisesti CI/CD-työnkuluissa.
Keskitetty hallintapaneeli	Antaa näkyvyyden siihen, mistä salaisuuksia löytyy.
Politiikan täytäntöönpano	Estää salaisuuksia sisältävien sitoumusten tekemisen.

Suositut salaisuuksien tunnistustyökalut

Plexicus ASPM – Yhdistetty AppSec-alusta, joka yhdistää salaisuuksien tunnistuksen, SCA
ja IaC-skannauksen.
GitGuardian – Tunnistaa paljastuneet tunnistetiedot eri arkistoissa.
TruffleHog – Avoimen lähdekoodin työkalu arkistojen ja sitoumusten historian skannaamiseen.
Gitleaks – Kevyt skanneri salaisuuksien havaitsemiseen Git-arkistoissa.
SpectralOps – Valvoo salaisuuksia CI/CD
, konteissa ja API
.

Salaisuuksien hallinnan parhaat käytännöt

Älä koskaan kovakoodaa salaisuuksia lähdekoodiin.
Käytä salaisuuksien hallintatyökaluja, kuten AWS Secret Manager tai HashiCorp Vault.
Vaihda tunnistetiedot säännöllisesti.
Seuraa jatkuvasti uusia paljastuneita salaisuuksia.
Kouluta kehittäjätiimiä turvallisen koodauksen parhaista käytännöistä.

Liittyvät termit

UKK: Salaisuuksien tunnistus

1. Mikä on ero salaisuuksien tunnistamisen ja hallinnan välillä?

Salaisuuksien tunnistaminen löytää paljastuneet salaisuudet; salaisuuksien hallinta tallentaa, kierrättää ja hallitsee niiden käyttöä turvallisesti.

2. Voiko salaisuuksien tunnistus estää vuotoja automaattisesti?

Kyllä, monet työkalut estävät sitoumuksia tai peruuttavat avaimet automaattisesti, kun salaisuuksia löydetään.

3. Onko salaisuuksien tunnistus vain lähdekoodille?

Ei, se skannaa myös lokit, kontit, IaC-tiedostot ja pilvitallennuksen.

4. Mitä tapahtuu, kun salaisuus löydetään?

Avaimen tulisi olla peruutettu, kierrätetty ja korvattu välittömästi.