パブリック監視について
GitHub は、リアルタイムで GitHub 間で漏洩したシークレットを監視します。 パブリック監視では、貴社のメンバーがコミットを行う場所に基づいて、公開されたシークレットを貴社に関連付けます。
Secret scanning は、企業が所有するリポジトリ内のシークレットを検出します。 パブリック監視は、シークレットが漏洩したリポジトリを企業が所有しているかどうかに関係なく、GitHub全体の任意のパブリック リポジトリで見つかったシークレットにこの検出を拡張します。
これにより、企業のセキュリティ管理者は、他の方法では認識できない資格情報の公開を可視化でき、悪いアクターによって悪用される可能性のある潜在的なリスクや漏洩したシークレットを特定するのに役立ちます。
パブリック監視のしくみ
パブリック監視は、issue や pull request のコメント、gist などのコード以外のコンテンツを含む、GitHub全体のパブリック リポジトリをスキャンします。 企業に関連付けられているシークレットが検出されます。 シークレットが検出されると、エンタープライズ レベルのセキュリティの概要にアラートが表示されます。
アトリビューション方法
パブリック監視では、次の 2 つの方法を使用して、検出されたシークレットを企業に関連付けます。
- エンタープライズ メンバーシップ: お客様のエンタープライズのメンバーであるユーザーによって漏洩したシークレット。 テナントの分離は、エンタープライズ メンバーシップの名簿がデータ所在地付き GitHub Enterprise Cloudと共有されていないことを意味するため、この方法は、GitHub上の企業では使用できません。
- 検証済みドメインの一致: メール アドレスのドメインが企業の検証済みドメインと一致するユーザーによって漏洩したシークレット (直接の企業メンバーではない場合でも)。
パブリック監視が有効な場合、上記のデータ所在地の制限を除き、どちらの方法もアクティブになります。
アラートのトリアージと統合
パブリック監視には、セキュリティ チームがアラートをトリアージし、結果を既存のセキュリティ ワークフローに接続するのに役立つツールが含まれています。
- アラート管理: アラートを閉じて再度開き、コメントを追加して意思決定を記録し、各アラートのアクティビティ タイムラインを確認します。
- フィルター処理: リポジトリ、コミッター、シークレットの種類、帰属方法、または状態でアラートをフィルター処理します。
- 有効性チェック: サポートされているシークレットの種類については、検出された認証情報の
active、inactive、またはunknown状態を確認します。 - 統合: REST API を使用して、プログラムでアラートを操作します。 エンタープライズ Webhook イベントを使用して、公開監視アクティビティを既存のセキュリティ ワークフローに接続します。
API の詳細については、エンタープライズの公開監視アラートを一覧表示するを参照してください。 webhook ペイロードの詳細については、 secret_scanning_public_monitoring_alert イベントを参照してください。
アラートの表示とトリアージの詳細については、「 パブリック監視アラートの表示と管理」を参照してください。
Requirements
パブリック監視を使用するには、企業で次の手順を実行する必要があります。
- GitHub Advanced SecurityまたはGitHub Secret Protectionを有効にする