CredScope แผนที่ความลับของที่เก็บไปยังบริการและ CI workflows
แมพข้อมูลรับรองไปยังบริการและ CI workflows โดยการวิเคราะห์ไฟล์ในที่เก็บและการตั้งค่าโครงสร้างพื้นฐาน CredScope ซึ่งสร้างโดย Abdallah Alotaibi เป็นยูทิลิตี้ความปลอดภัย CLI บน Windows ที่รวมการตรวจจับความลับกับการวิเคราะห์บริบท มันรวมเข้ากับสแกนเนอร์ที่มีอยู่ อ่านข้อมูลเมตาของ Docker Compose และ GitHub Actions และส่งออกเป็น JSON, SARIF หรือแผนภาพ Mermaid ผู้ใช้เป้าหมายคือ นักพัฒนาและวิศวกร DevSecOps ที่ต้องการจัดลำดับความสำคัญของข้อมูลรับรองที่เปิดเผยตามผลกระทบของบริการและการเข้าถึง workflow.
CredScope เชื่อมโยงกับอะไรในที่เก็บข้อมูล?
CredScope สแกนการอ้างอิงในที่เก็บข้อมูลและเชื่อมโยงความลับที่ตรวจพบกับอาร์ติแฟกต์โครงสร้างพื้นฐาน เช่น บริการ Docker Compose และเวิร์กโฟลว์ GitHub Actions แทนที่จะเพียงแค่ทำเครื่องหมายการจับคู่ดิบ การรวมเข้ากับสแกนเนอร์ภายนอกช่วยให้สามารถนำผลการค้นหาความลับมาใช้ใหม่และจากนั้นแมพแต่ละการจับคู่ไปยังชื่อบริการและงาน CI สร้างแผนภาพ Mermaid ที่มองเห็นได้และผลลัพธ์ JSON หรือ SARIF ที่มีโครงสร้างสำหรับเครื่องมือที่ติดตามต่อไป
มันทำให้การวิเคราะห์ช้าลงหรือส่งผลกระทบต่อระบบในระหว่างการสแกนหรือไม่?
เครื่องมือใช้ CLI Go ที่คอมไพล์แล้วซึ่งทำงานในเครื่องและปฏิบัติตามการออกแบบแบบออฟไลน์เป็นอันดับแรก ซึ่งช่วยให้การวิเคราะห์อยู่บนเครื่องโฮสต์ สถาปัตยกรรมนี้ช่วยลดกิจกรรมเครือข่ายเพราะไม่มีข้อมูลถูกส่งออกไปนอกสถานที่ และการดำเนินการถูกจำกัดอยู่ในที่เก็บข้อมูลในเครื่อง; โปรไฟล์ CPU และหน่วยความจำจะขึ้นอยู่กับขนาดของที่เก็บข้อมูล แต่การดำเนินการมุ่งเป้าไปที่ประสิทธิภาพของบรรทัดคำสั่งที่เป็นไปตามมาตรฐานของไบนารี Go
มันปลอดภัยที่จะรันในที่เก็บข้อมูลที่ละเอียดอ่อนหรือไม่?
รายงานจะไม่รวมค่าความลับดิบตามการออกแบบและเครื่องมือจะไม่ติดต่อกับผู้ให้บริการข้อมูลประจำตัว ซึ่งช่วยรักษาความเป็นส่วนตัวของความลับในระหว่างการประมวลผล นอกจากนี้ การทำงานแบบออฟไลน์ป้องกันการส่งข้อมูลของที่เก็บข้อมูลไปยังภายนอก พฤติกรรมเหล่านี้ทำให้การวิเคราะห์เหมาะสมสำหรับสภาพแวดล้อมที่ไม่สามารถทิ้งข้อมูลที่ละเอียดอ่อนไว้ในบริการภายนอกได้ ในขณะที่ยังผลิต SARIF ที่อ่านได้โดยเครื่องสำหรับแพลตฟอร์มความปลอดภัย
ฉันต้องการความรู้ทางเทคนิคเพื่อใช้งาน CredScope อย่างมีประสิทธิภาพหรือไม่?
CredScope ถูกแจกจ่ายเป็น CLI แบบสแตนด์อโลนและให้ผลลัพธ์ที่มุ่งเน้นไปที่การทำงานอัตโนมัติและเวิร์กโฟลว์ของนักพัฒนา เช่น การรวม GitHub Action และการส่งออก SARIF ผู้ใช้ที่สะดวกสบายกับเครื่องมือบรรทัดคำสั่งและการกำหนดค่าของ CI จะใช้มันโดยตรง; ผู้ที่ชอบเวิร์กโฟลว์กราฟิกจะต้องส่งผลลัพธ์ไปยังเครื่องมืออื่น ๆ หรือรวมมันเข้ากับท่อ CI เพื่อให้ได้แผนภาพที่มองเห็นได้และรายงานที่มีโครงสร้าง
CredScope เหมาะสำหรับทีมเทคนิคที่ให้ความสำคัญกับความเสี่ยงด้านข้อมูลประจำตัว โดยมีการแลกเปลี่ยนกับ CLI
เครื่องมือนี้เหมาะที่สุดสำหรับนักพัฒนาและวิศวกรด้านความปลอดภัยที่ต้องเปลี่ยนการแจ้งเตือนความลับให้เป็นลำดับความสำคัญที่คำนึงถึงโครงสร้างพื้นฐานในขณะที่เก็บการวิเคราะห์ทั้งหมดไว้ในเครื่อง การแลกเปลี่ยนหลักคือการมุ่งเน้นที่บรรทัดคำสั่ง ซึ่งถือว่าผู้ใช้มีความคุ้นเคยกับการทำงานของ CLI หรือการรวม CI เพื่อดึงรายงานภาพ สำหรับทีมที่ยอมรับกระบวนการที่ขับเคลื่อนด้วย CLI CredScope มอบวิธีการที่มุ่งเน้นความเป็นส่วนตัวในการประเมินการเปิดเผยข้อมูลประจำตัวและผลกระทบที่อาจเกิดขึ้น
