גילוי סודות

בקצרה

גילוי סודות מוצא מידע רגיש כמו מפתחות API, סיסמאות, אסימונים ונתוני גישה בקוד מקור, קבצי קונפיגורציה או לוגים, ועוזר למנוע חשיפה לא מכוונת.

כלי לגילוי סודות סורק מאגרים, צינורות וקונטיינרים כדי לעזור למנוע דליפות נתונים וגישה לא מורשית.

תפיסת בעיות סודיות מוקדם עוזרת להגן על היישומים, ה-API והשירותים בענן שלך מפני תוקפים.

מהו גילוי סודות?

גילוי סודות הוא תהליך של סריקת בסיסי קוד, צינורות CI/CD והענן כדי לזהות סודות חשופים כמו מפתחות API, נתוני גישה, מפתחות הצפנה או אסימונים. זה קריטי מכיוון שתוקפים, כמו בוטים להזרקת נתונים או חוטפי משאבי ענן, יכולים לנצל את הסודות החשופים הללו כדי להשיג גישה לא מורשית.

“סודות” אלה משמשים לעיתים קרובות לאימות משתמשים או חיבור לשירותים כמו ווּבהוּקים של Slack או API תשלומים של Stripe. כאשר הם נדחפים בטעות למאגר ציבורי כמו GitHub, תוקפים יכולים לנצל אותם כדי להשיג גישה למערכת, למסד הנתונים או לחשבון הענן שאתה מחובר אליו.

למה גילוי סודות חשוב?

סודות יכולים להופיע בקבצי סביבה, קוד מקור, קבצי קונפיגורציה YAML ולוגים של CI/CD.

אם סודות נחשפים, הם יכולים לגרום להפרות אבטחה חמורות.

הבנה והפחתת סיכונים אלה יכולים לשפר משמעותית את האבטחה והציות. ארבעת הסיכונים הגדולים ביותר הם:

• מניעת גישה לא מורשית: מפתח סודי חשוף יכול לאפשר לתוקף גישה לנתוני ייצור או לשירותי ענן.
• הימנעות מפריצות יקרות: אישורים שנפרצו הם אחת הסיבות העיקריות לדליפות נתונים, כמו הפריצה של אובר ב-2022, שהחלה מסקריפט PowerShell חשוף שכלל אישורים מקודדים.
• תמיכה בציות: מסגרות כמו SOC 2, GDPR, ו-ISO 27001 מחייבות אותך להגן על נתונים רגישים וסודות.
• הפחתת טעויות אנוש: אוטומציה של גילוי סודות עוזרת לך לתפוס דליפות לפני שהקוד נפרס לייצור, ומונעת פריצות גדולות יותר.

איך עובד גילוי סודות

כלי גילוי סודות משתמשים בהתאמת תבניות, ניתוח אנטרופיה ולמידת מכונה כדי לאתר ולסווג מידע רגיש בקוד או בתשתית שלך.

הנה תהליך העבודה הטיפוסי:

1. סריקת קוד וקונפיגורציות: הכלי סורק מאגרים, מכולות ותבניות IaC (תשתית כקוד) עבור אישורים וטוקנים.
2. זיהוי תבנית: הוא מזהה סוגי סודות נפוצים כמו מפתחות גישה של AWS, טוקנים של JWT, או מפתחות פרטיים של SSH.
3. הקשר קורלטיבי: כלים מעריכים האם המחרוזת שזוהתה היא באמת סוד או חיובי שגוי.
4. התראה ותיקון: צוותים מקבלים התראה, המאפשרת להם לבטל ולסובב סודות שנפרצו.
5. ניטור מתמשך: שילוב גילוי בבקרת גרסאות או CI/CD להגנה מתמשכת.

מי משתמש בגילוי סודות

• מפתחים: תפסו סודות מקודדים לפני התחייבות למאגר.
• צוותי DevSecOps: שלבו סריקת סודות בצינורות.
• מהנדסי אבטחה: עקבו אחר מאגרים ומכולות לזליגות.
• צוותי תאימות: ודאו שניהול האישורים מתבצע בצורה מאובטחת.

מתי יש ליישם זיהוי סודות?

• לפני התחייבות (שקלו להשתמש ב-git commit-msg hook): השתמשו ב-hooks לפני התחייבות כדי לחסום חשיפת סודות לפני שהם מתחייבים.
• במהלך CI/CD (בהתאמה ל-git push): אוטומטיזציה של זיהוי עם כל בנייה או פריסה כדי לתפוס כל סוד לפני אינטגרציה סופית.
• באופן רציף (חשבו על זה כחלק מתהליך git pull או לאחר פריסה): עקבו באופן קבוע אחר סביבת הייצור עבור כל סוד שנחשף לאחרונה.

דוגמה בפועל

צוות פיתוח דוחף בטעות אישורי AWS למאגר ציבורי ב-GitHub. תוך שעות, תוקפים מנסים להשתמש במפתחות אלה כדי להפעיל מופעי EC2, וגורמים לעלות של כ-15,000 דולר בשימוש לא מורשה תוך שש שעות.

עם זיהוי סודות מופעל, המערכת מסמנת את החשיפה מיד, מבטלת את האישור שנחשף באופן אוטומטי, ומודיעה לצוות DevSecOps כדי למנוע פגיעה אפשרית בענן.

יכולות מפתח של כלי זיהוי סודות

יכולת	תיאור
התאמת תבניות	מזהה פורמטים נפוצים של אישורים (מפתחות API, אסימונים, SSH).
סריקת אנטרופיה	מוצא מחרוזות שנראות אקראיות שעשויות להיות סודות.
ביטול אוטומטי	מבטל או מסובב אישורים שנפגעו.
אינטגרציה לצינור	סורק קוד אוטומטית בזרימות עבודה של CI/CD.
לוח מחוונים מרכזי	מספק נראות למקום שבו נמצאים סודות.
אכיפת מדיניות	חוסם התחייבויות המכילות סודות.

כלי זיהוי סודות פופולריים

• Plexicus ASPM – פלטפורמת AppSec מאוחדת המשלבת זיהוי סודות, SCA וסריקת IaC.
• GitGuardian – מזהה אישורים חשופים ברחבי מאגרים.
• TruffleHog – כלי קוד פתוח לסריקת מאגרים והיסטוריית התחייבויות.
• Gitleaks – סורק קל לזיהוי סודות במאגרים של Git.
• SpectralOps – מנטר סודות ב-CI/CD, מכולות ו-APIs.

שיטות עבודה מומלצות לניהול סודות

• לעולם אל תכלול סודות בקוד המקור.
• השתמש במנהלי סודות כמו AWS Secret Manager או HashiCorp Vault.
• שנה אישורים באופן קבוע.
• עקוב באופן רציף אחר סודות חדשים שנחשפו.
• הכשר את צוות המפתחים על שיטות קידוד מאובטחות.

מונחים קשורים

• SCA (ניתוח הרכב תוכנה)
• ASPM (ניהול עמדת אבטחת יישומים)
• DevSecOps
• ניהול עמדת אבטחת ענן (CSPM)
• אבטחת CI/CD