Реагирование на инциденты
Устраните утечку секрета из репозитория
Утёкшие учётные данные отзывают, злоупотребление расследуют, зависимые службы безопасно обновляют, повтор снижают.
Процесс
Делай в этом порядке.
- Откройте инцидент и определите тип секрета, провайдера, репозиторий, путь раскрытия, видимость, историю коммитов, форки, журналы и затронутого владельца, не копируя значение в заявки или чат.
- Немедленно отзовите или отключите раскрытый секрет у выдавшего провайдера; не полагайтесь на удаление коммита — прежние копии могут остаться.
- Создайте замену с минимальными правами и уместным сроком, обновите утверждённые хранилища секретов и зависимые сервисы, затем проверьте работу.
- Просмотрите журналы провайдера, репозитория, CI, облака и приложения на использование с наиболее раннего правдоподобного раскрытия до отзыва и эскалируйте подозрительную активность.
- Уберите секрет из текущего кода и конфигурации; решите с администраторами репозитория, нужна ли перепись истории, и согласуйте её разрушительные эффекты.
- Добавьте сканирование секретов, защиту отправки, правила игнорирования с проверкой и более безопасные шаблоны внедрения; поищите то же раскрытие в уполномоченных связанных репозиториях.
- Задокументируйте хронологию, эффект, ротации, доказательства и меры предотвращения и закрывайте только когда старые учётные данные непригодны, а сервисы используют замену.
Принеси это
Входы, которые кот спросит.
- Оповещение сканера секретов или ссылка на репозиторий
- Провайдер учётных данных и владелец
- Уполномоченный доступ к репозиторию и провайдеру
- Список зависимых сервисов
Роутер + один playbook
Сначала маршрут. Выбери один.
Cat Paw открывает один playbook на задачу, не смешивает несколько. Начни с этого роутера; остальные пути — кандидаты именно этого workflow.
- Роутер:
cybersecurity-pack skills/cybersecurity-skills/implementing-secret-scanning-with-gitleaks/SKILL.mdskills/cybersecurity-skills/implementing-secrets-scanning-in-ci-cd/SKILL.md
Границы
Границы едут вместе с промптом.
- Никогда не вставляйте, не печатайте, не передавайте и не храните значение секрета в отчётах или переписке.
- Считайте учётные данные скомпрометированными и отзывайте их до очистки репозитория.
- Согласуйте перепись истории и продакшен-ротации с владельцами; не ломайте потребителей и не стирайте судебные доказательства.
Готово значит
Проверяемый финиш.
Утёкшие учётные данные не проходят проверку, все известные потребители используют замену с наименьшими привилегиями, разбор злоупотребления задокументирован, профилактическое сканирование или контроли активны.
Источники
Откуда взялся этот процесс.
- docs.github.com/en/code-security/tutorials/remediate-leaked-secrets/remediating-a-leaked-secret
- docs.github.com/en/code-security/concepts/secret-security/secret-scanning
Источники задают рисунок workflow. Посты Reddit и сообщества, если они есть, — байки практиков, не универсальные факты.
