secret-leak-sentinel

プロジェクトについて

Secret Leak Sentinel は、API keys、access tokens、passwords、private certificates、database connection strings、OAuth secrets、その他、漏えいすると未承認アクセスを許してしまう可能性のある機密 credentials の偶発的な露出を検知・防止するための多層プラットフォームです。シークレット漏えいは、初期露出からシステム完全侵害までの最短経路の一つであり、credential が公開されてから自動スキャンボットに悪用されるまで、しばしば数時間しかかかりません。 このプラットフォームは 3 つのレベルで動作します。Prevention Layer には、コード変更が version control にコミットされる前にスキャンする pre-commit hooks が含まれ、誤って credentials をコミットすることを源流で防ぎます。これらの hooks は、正規表現パターン、entropy analysis (異常に高いランダム性を持つ文字列の検出)、machine learning classification を組み合わせ、高精度かつ低 false positive 率でシークレットを識別します。Detection Layer は、既存の repositories、CI/CD pipeline logs、build artifacts、cloud service configurations を継続的にスキャンし、過去にコミットされたシークレットを検出します。一度きりのスキャンツールとは異なり、この継続監視は、コミット後に削除されたものの git history から引き続きアクセス可能なシークレットも捕捉します。Response Layer は、漏えいが検知されたときの remediation ワークフローを自動化します。責任チームへの即時アラート、incident ticket の作成、credential ローテーション手順の開始、完了までの remediation 進捗追跡です。 このプラットフォームは、200 種類以上の credential タイプ (AWS keys、GCP service accounts、Azure secrets、GitHub tokens、Stripe keys、Twilio credentials、database passwords など) を標準でサポートし、組織が内部 credential 形式向けにカスタムパターンを定義できるようにします。すべての findings には、誰が、いつ、どのファイルの何行目でシークレットをコミットしたか、そしてそれが実際に使える live credential かテスト/例示値か、といったコンテキスト情報が含まれます。

なぜ重要か

シークレット漏えいは、現代のソフトウェア開発における最も一般的かつ最も危険なセキュリティ失敗の一つです。調査によれば、公開 GitHub repositories の 10% 以上に少なくとも 1 つの露出したシークレットが含まれており、自動ボットは GitHub を継続的にスキャンして新しくコミットされた credentials を探し、公開から数分以内に悪用することがよくあります。たった 1 つの AWS access key の漏えいで、クラウドインフラの完全侵害、データ流出、そして数十万ドルを超える可能性のある cryptocurrency mining charges に至ることがあります。 問題は構造的です。開発者は日々、多数の credentials (API keys、database passwords、service tokens) を扱っており、ベストプラクティスを知っていてもミスは起こります。たとえば、テストのために hardcode した credential を誤ってコミットする、.gitignore が正しく設定されていなかったため .env ファイルをコミットしてしまう、CI/CD ログが environment variables を露出する、といったことです。これらはいずれも、攻撃者が積極的に悪用する脆弱性の窓を作ります。 このプラットフォームは、コミットレベルでの新規漏えい防止、継続スキャンによる既存漏えいの検出、漏えい発見時の対応自動化を通じて、シークレット漏えいに包括的に対処します。目標は、露出期間を、業界平均で days や weeks に及ぶものから minutes へと短縮することです。

ステップバイステップガイド

1. 各リポジトリで 'sentinel install-hook' を実行して、ローカル防止用の pre-commit hook をインストールします。この hook は通常のコミットで 2 秒未満で動作し、検知された credentials を含むコミットをブロックします。開発者は 'sentinel allow --hash <hash>' で false positive を明示的に許可できます。この hook は git と連携し、すべての programming languages をサポートします。
2. 提供された OAuth 統合を通じて GitHub/GitLab/Bitbucket の organization に接続し、組織の repositories に対する継続スキャンを設定します。スキャナーはすべての repositories (git history を含む) を分析し、毎日実行され、push イベント時には即時スキャンされるようスケジュールされます。結果は数分以内に Web ダッシュボードで確認できます。
3. 環境特有の credential パターンに合わせて、カスタム検知ルールを定義します。ルールエンジンは、正規表現、entropy 閾値、コンテキスト分析 (ファイル名パターン、既知の secret variable 名への近接性) をサポートします。社内 API key 形式、database connection strings、独自 token パターン向けのカスタムルール例は /rules/examples/ にあります。
4. リアルタイムアラート (Slack、email、PagerDuty)、remediation 追跡用の Jira/ServiceNow チケット自動作成、漏えい確認時の自動 credential ローテーションのための secret rotation API (AWS Secrets Manager、HashiCorp Vault) 連携を含む自動応答ワークフローを設定します。エグゼクティブダッシュボードで remediation SLA の遵守状況を監視してください。

使用技術