Monitoramento público para verificação secreta

Sobre o monitoramento público

GitHub monitora os segredos vazados em GitHub tempo real. Atributos de monitoramento públicos expõem publicamente segredos de volta à sua empresa, com base no local em que suas pessoas se comprometem.

Secret scanning detecta segredos em repositórios que sua empresa possui. O monitoramento público estende essa detecção a segredos encontrados em repositórios públicos arbitrários em GitHub, independentemente de sua empresa ser ou não proprietária do repositório onde eles foram vazados.

Isso dá aos administradores de segurança da empresa visibilidade da exposição de credenciais que de outra forma não estariam cientes, ajudando a identificar possíveis riscos e segredos vazados que poderiam ser explorados por maus atores.

Como funciona o monitoramento público

O monitoramento público examina repositórios públicos em GitHub, incluindo conteúdo sem código, como comentários de issue e pull request, e gists. Ele detecta segredos associados à sua empresa. Quando um segredo é detectado, um alerta é exibido na visão geral de segurança no nível da empresa.

Métodos de atribuição

O monitoramento público usa dois métodos para associar segredos detectados à sua empresa:

• Associação à empresa: Segredos vazados por usuários que são membros da sua empresa. Esse método não está disponível para empresas em GitHub Enterprise Cloud com residência de dados, porque o isolamento de tenant significa que as listas de associação empresarial não são compartilhadas com GitHub.
• Correspondência de domínio verificada: Segredos vazados por usuários cujo endereço de email corresponde a um domínio verificado da sua empresa, mesmo que eles não sejam membros corporativos diretos.

Ambos os métodos estão ativos quando o monitoramento público está habilitado, exceto pela limitação de residência de dados observada acima.

Triagem de alertas e integrações

O monitoramento público inclui ferramentas para ajudar as equipes de segurança a fazer triagem de alertas e conectar descobertas a fluxos de trabalho de segurança existentes:

• Gerenciamento de alertas: Ignore e reabra alertas, adicione comentários para registrar decisões e examine a linha do tempo de atividade de cada alerta.
• Filtragem: Filtre alertas por repositório, committer, tipo de segredo, método de atribuição ou estado.
• Verificações de validade: Para tipos de segredo com suporte, examine o status unknown, active ou inactive de uma credencial detectada.
• Integrações: Use a API REST para trabalhar com alertas programaticamente. Use eventos de webhook corporativo para conectar a atividade de monitoramento público aos fluxos de trabalho de segurança existentes.

Para obter detalhes da API, consulte Listar alertas de monitoramento público para uma empresa. Para obter detalhes de conteúdo do webhook, consulte o secret_scanning_public_monitoring_alert evento.

Para obter mais informações sobre como exibir e tririar alertas, consulte Visualização e gerenciamento de alertas públicos de monitoramento.

Requirements

Para usar o monitoramento público, sua empresa deve:

• Ter GitHub Advanced Security ou GitHub Secret Protection habilitado