事件响应
处置仓库泄露的密钥
撤销泄露凭证、调查滥用、安全更新依赖服务，并降低再发。
流程
按这个顺序做。
- 打开事件，识别密钥类型、提供方、仓库、暴露路径、可见性、提交历史、分叉、日志和受影响负责人，且不要把值复制到工单或聊天。
- 立即在签发方撤销或禁用已暴露密钥；不要依赖删除提交，因为先前副本可能仍在。
- 创建最小权限且到期合适的替换，更新批准密钥库和依赖服务，然后核验运行。
- 审查提供方、仓库、CI、云和应用日志，覆盖最早可能暴露至撤销期间的使用，并升级可疑活动。
- 从当前代码和配置移除密钥；与仓库管理员决定是否需要改写历史，并协调其破坏性影响。
- 加入密钥扫描、推送保护、经审阅的忽略规则和更安全的注入模式；在授权相关仓库搜索相同暴露。
- 记录时间线、影响、轮换、证据和预防行动，仅在旧凭证失效且服务使用替换后关闭。
先准备
猫会向你要的输入。
- 密钥扫描告警或仓库引用
- 凭证提供方与负责人
- 授权仓库与提供方访问
- 依赖服务清单
路由器 + 一份 playbook
先路由。只选一份。
Cat Paw 每次任务只加载一份 playbook，不合并多份。先走这个路由器；其余路径是此 workflow 可检查的候选。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/implementing-secret-scanning-with-gitleaks/SKILL.mdskills/cybersecurity-skills/implementing-secrets-scanning-in-ci-cd/SKILL.md
界限
界限跟着提示一起走。
- 绝不在报告或对话中粘贴、打印、传输或存储密钥值。
- 把凭证视为已失陷，并在仓库清理前撤销。
- 与负责人协调历史改写和生产轮换；不要破坏消费者或抹去取证证据。
完成代表
一个可核对的终点。
泄露凭证校验失败，所有已知消费者使用最小权限替换，滥用审查已记录，预防扫描或控制已启用。
来源
这个流程从哪来。
- docs.github.com/en/code-security/tutorials/remediate-leaked-secrets/remediating-a-leaked-secret
- docs.github.com/en/code-security/concepts/secret-security/secret-scanning
来源确立 workflow 的模式。如有 Reddit 或社区帖子，视为实务轶事，不是普遍事实。
