secret-leak-sentinel

אודות הפרויקט

Secret Leak Sentinel היא פלטפורמה רב-שכבתית לזיהוי ומניעת חשיפה מקרית של אישורים רגישים — מפתחות API, טוקני גישה, סיסמאות, תעודות פרטיות, מחרוזות חיבור למסדי נתונים, סודות OAuth וכל אישור אחר שיכול לאפשר גישה לא מורשית אם ייפגע. דליפת סודות היא אחד המסלולים המהירים ביותר מחשיפה ראשונית לפגיעה מלאה במערכת, ולעיתים נדרשות רק שעות מהרגע שבו אישור מופיע בפומבי ועד לניצולו על ידי bots סריקה אוטומטיים. הפלטפורמה פועלת בשלוש רמות: שכבת המניעה כוללת pre-commit hooks הסורקים שינויים בקוד לפני שהם מבוצעים ל-version control, וחוסמים commits מקריים של אישורים במקור. ה-hooks משתמשים בשילוב של תבניות regular expression, ניתוח entropy ‏(זיהוי מחרוזות עם אקראיות גבוהה במיוחד) וסיווג machine learning כדי לזהות סודות בדיוק גבוה ושיעורי false positive נמוכים. שכבת הזיהוי מספקת סריקה רציפה של מאגרים קיימים, לוגים של pipelines ב-CI/CD, תוצרי build ותצורות שירותי ענן כדי למצוא סודות שנשמרו בעבר. בניגוד לכלי סריקה חד-פעמיים, הניטור הרציף הזה תופס סודות שבוצע להם commit, נמחקו, אך עדיין נגישים ב-git history. שכבת התגובה מאוטמטת את תהליך התיקון כאשר מתגלה דליפה: התרעה מיידית לצוות האחראי, יצירת tickets לאירוע, התחלת תהליכי rotation של האישורים ומעקב אחר התקדמות התיקון עד להשלמה. הפלטפורמה תומכת ביותר מ-200 סוגי אישורים out of the box (AWS keys, GCP service accounts, Azure secrets, GitHub tokens, Stripe keys, Twilio credentials, סיסמאות למסדי נתונים ועוד רבים) ומאפשרת לארגונים להגדיר דפוסים מותאמים אישית לפורמטים של אישורים פנימיים. כל ממצא כולל מידע הקשרי — מי ביצע commit לסוד, מתי, באיזה קובץ ושורה, והאם הסוד נראה כמו אישור חי או ערך בדיקה/דוגמה.

למה זה חשוב

דליפת סודות היא אחת מכשלי האבטחה הנפוצים והמסוכנים ביותר בפיתוח תוכנה מודרני. מחקרים מראים שלמעלה מ-10% מהמאגרים הציבוריים ב-GitHub מכילים לפחות סוד אחד שנחשף, ו-bots אוטומטיים סורקים את GitHub ברציפות לאיתור אישורים שזה עתה בוצע להם commit — לעיתים תוך דקות מחשיפתם. מפתח AWS יחיד שדלף עלול להוביל לפגיעה מלאה בתשתית הענן, data exfiltration וחיובים על כריית מטבעות קריפטוגרפיים שיכולים להגיע למאות אלפי דולרים. הבעיה היא מערכתית: מפתחים עובדים מדי יום עם אישורים רבים (מפתחות API, סיסמאות למסדי נתונים, טוקני שירות) ולמרות שיטות עבודה מומלצות, טעויות קורות — אישור נכתב hardcoded לצורכי בדיקה ונשמר בטעות ב-commit, קובץ .env נשמר ב-commit כי .gitignore לא הוגדר כראוי, או לוג CI/CD חושף משתני סביבה. כל אחד מהתרחישים הללו יוצר חלון פגיעות שתוקפים מנצלים באופן אקטיבי. פלטפורמה זו מטפלת בדליפת סודות באופן מקיף — מונעת דליפות חדשות ברמת ה-commit, מזהה דליפות קיימות באמצעות סריקה רציפה, ומאוטמטת את התגובה כאשר דליפות מתגלות. המטרה היא לצמצם את חלון החשיפה מימים או שבועות (הממוצע בתעשייה לזיהוי דליפות סודות) לדקות.

מדריך שלב-אחר-שלב

1. התקינו את pre-commit hook להגנה מקומית על ידי הרצת 'sentinel install-hook' בכל מאגר. ה-hook רץ בפחות מ-2 שניות עבור commits טיפוסיים וחוסם כל commit שמכיל אישורים שזוהו. מפתחים יכולים להשתמש ב-'sentinel allow --hash <hash>' כדי לאשר במפורש false positives. ה-hook עובד עם git ותומך בכל שפות התכנות.
2. הגדירו סריקה רציפה על מאגרי הארגון שלכם על ידי חיבור ל-organization שלכם ב-GitHub/GitLab/Bitbucket באמצעות אינטגרציית OAuth שסופקה. הסורק ינתח את כל המאגרים (כולל git history), יפעל מדי יום עם סריקה מיידית באירועי push. התוצאות זמינות בדשבורד הווב בתוך דקות.
3. הגדירו כללי זיהוי מותאמים אישית לדפוסי אישורים הספציפיים לסביבה שלכם. מנוע הכללים תומך ב-regular expressions, ספי entropy וניתוח הקשרי (דפוסי שמות קבצים, קרבה לשמות משתני סוד מוכרים). דוגמאות לכללים מותאמים אישית זמינות ב-/rules/examples/ עבור פורמטים פנימיים של מפתחות API, מחרוזות חיבור למסדי נתונים ודפוסי טוקנים קנייניים.
4. הגדירו זרימות תגובה אוטומטיות כולל התראות בזמן אמת (Slack, email, PagerDuty), יצירת tickets אוטומטית ב-Jira/ServiceNow למעקב תיקון, ואינטגרציה עם APIs לסיבוב סודות (AWS Secrets Manager, HashiCorp Vault) לצורך rotation אוטומטי של אישורים כאשר דליפות מאושרות. נטרו עמידה ב-SLA של התיקון דרך הדשבורד ההנהלתית.

טכנולוגיות בשימוש