secret-leak-sentinel

Acerca del proyecto

Secret Leak Sentinel es una plataforma multicapa para detectar y prevenir la exposición accidental de credenciales sensibles — claves API, tokens de acceso, contraseñas, certificados privados, cadenas de conexión a bases de datos, secretos OAuth y cualquier otra credencial que pueda proporcionar acceso no autorizado si se compromete. La filtración de secretos es una de las vías más rápidas desde la exposición inicial hasta el compromiso total del sistema, y a menudo solo transcurren horas desde el momento en que una credencial aparece públicamente hasta que es explotada por bots de escaneo automatizado. La plataforma opera en tres niveles: Prevention Layer incluye hooks pre-commit que escanean los cambios de código antes de ser confirmados en el control de versiones, bloqueando los commits accidentales de credenciales en el origen. Los hooks utilizan una combinación de patrones de expresiones regulares, análisis de entropía (detección de cadenas con aleatoriedad inusualmente alta) y clasificación mediante aprendizaje automático para identificar secretos con alta precisión y bajas tasas de falsos positivos. Detection Layer proporciona escaneo continuo de repositorios existentes, logs de pipelines CI/CD, artefactos de compilación y configuraciones de servicios cloud para detectar secretos comprometidos previamente. A diferencia de las herramientas de escaneo puntuales, este monitorización continua detecta secretos que fueron commitidos, borrados, pero siguen accesibles en el historial git. Response Layer automatiza el flujo de remediación cuando se detecta una filtración: alerta inmediatamente al equipo responsable, crea tickets de incidente, inicia procedimientos de rotación de credenciales y hace seguimiento del progreso de la remediación hasta su finalización. La plataforma admite de serie más de 200 tipos de credenciales (claves AWS, cuentas de servicio de GCP, secretos de Azure, tokens de GitHub, claves de Stripe, credenciales de Twilio, contraseñas de bases de datos y muchas más) y permite a las organizaciones definir patrones personalizados para formatos internos de credenciales. Todos los hallazgos incluyen información contextual — quién commitió el secreto, cuándo, en qué archivo y línea, y si el secreto parece una credencial activa o un valor de prueba/ejemplo.

Por qué importa esto

La filtración de secretos es uno de los fallos de seguridad más comunes y más peligrosos en el desarrollo de software moderno. Los estudios muestran que más del 10% de los repositorios públicos de GitHub contienen al menos un secreto expuesto, y los bots automatizados escanean GitHub continuamente en busca de credenciales recién commitidas — a menudo explotándolas en cuestión de minutos tras la exposición. Una sola clave de acceso AWS filtrada puede llevar al compromiso total de la infraestructura cloud, a la exfiltración de datos y a cargos por minería de criptomonedas que pueden superar cientos de miles de dólares. El problema es sistémico: los desarrolladores trabajan con numerosas credenciales a diario (claves API, contraseñas de bases de datos, tokens de servicio) y, a pesar de las buenas prácticas, ocurren errores — una credencial se incrusta en el código para pruebas y se committe accidentalmente, un archivo .env se commite porque .gitignore no estaba bien configurado, o un log de CI/CD expone variables de entorno. Cada uno de estos escenarios crea una ventana de vulnerabilidad que los atacantes explotan activamente. Esta plataforma aborda la filtración de secretos de forma integral: previniendo nuevas filtraciones a nivel de commit, detectando filtraciones existentes mediante escaneo continuo y automatizando la respuesta cuando se descubren. El objetivo es reducir la ventana de exposición de días o semanas (la media del sector para detectar filtraciones de secretos) a minutos.

Guía paso a paso

1. Instala el hook pre-commit para prevención local ejecutando 'sentinel install-hook' en cada repositorio. El hook se ejecuta en menos de 2 segundos para commits típicos y bloquea cualquier commit que contenga credenciales detectadas. Los desarrolladores pueden usar 'sentinel allow --hash <hash>' para aprobar explícitamente falsos positivos. El hook funciona con git y es compatible con todos los lenguajes de programación.
2. Configura el escaneo continuo en los repositorios de tu organización conectando tu organización de GitHub/GitLab/Bitbucket mediante la integración OAuth proporcionada. El escáner analizará todos los repositorios (incluido el historial git), programado para ejecutarse a diario con escaneo inmediato en eventos push. Los resultados están disponibles en el panel web en cuestión de minutos.
3. Define reglas de detección personalizadas para patrones de credenciales específicos de tu entorno. El motor de reglas admite expresiones regulares, umbrales de entropía y análisis contextual (patrones de nombres de archivo, proximidad a nombres conocidos de variables secretas). En /rules/examples/ se ofrecen ejemplos de reglas personalizadas para formatos internos de claves API, cadenas de conexión a bases de datos y patrones de tokens propietarios.
4. Configura flujos de trabajo de respuesta automatizada, incluidas alertas en tiempo real (Slack, email, PagerDuty), creación automática de tickets Jira/ServiceNow para seguimiento de la remediación e integración con APIs de rotación de secretos (AWS Secrets Manager, HashiCorp Vault) para la rotación automática de credenciales cuando se confirmen filtraciones. Supervisa el cumplimiento del SLA de remediación a través del panel ejecutivo.

Tecnologías utilizadas