Примечание: Функция Оповещения проверки секретов для пользователей доступна в бета-версии для пользователей планов GitHub Free, GitHub Pro или GitHub Team и может быть изменена.
Управление оповещения о проверке секретов
Примечание: Оповещения создаются только для репозиториев с включенным Оповещения проверки секретов для пользователей. Секреты, найденные в общедоступных репозиториях с помощью бесплатной службы оповещения о проверке секретов для партнеров, передаются непосредственно партнеру без создания оповещения. Дополнительные сведения см. в разделе Поддерживаемые секреты для оповещений партнеров.
-
На GitHub.com перейдите на главную страницу репозитория. 1. Под именем репозитория щелкните Security.
-
На левой боковой панели щелкните Secret scanning оповещения.
Secret scanning alerts -
В разделе "Secret scanning" щелкните оповещение, которое нужно просмотреть.
-
Проверьте допустимость секрета и выполните действия по исправлению.
Примечание: Проверка допустимости маркеров GitHub в настоящее время находится в общедоступной бета-версии и может быть изменена.
GitHub предоставляет сведения о допустимости секрета только для маркеров GitHub.
Срок действия Результат Активный секрет GitHub подтвердил, что этот секрет активен Активный секрет GitHub проверили у поставщика этого секрета и обнаружили, что секрет активен Возможно, активный секрет GitHub пока не поддерживает проверки для этого типа маркера Возможно, активный секрет GitHub не удалось проверить этот секрет Секрет неактивен Убедитесь, что несанкционированный доступ уже не выполнен. -
Чтобы закрыть оповещение, выберите раскрывающееся меню "Закрыть как" и выберите причину устранения оповещения.
-
При необходимости добавьте комментарий о закрытии. Комментарий о закрытии будет добавлен на временную шкалу оповещений, и он может использоваться в качестве обоснования для аудита или отчетов. На временной шкале оповещений можно просмотреть журнал всех оповещений и примечаний об увольнении. Вы также можете получить или задать комментарий с помощью API Secret scanning. Комментарий содержится в поле
resolution_comment. Дополнительные сведения см. в разделе "Secret scanning" документации по REST API.
-
Щелкните Закрыть оповещение.
Защита скомпрометированных секретов
После фиксации секрета в репозитории следует считать секрет скомпрометированным. GitHub рекомендует следующие действия для скомпрометированных секретов:
-
Для скомпрометированного GitHub personal access token удалите скомпрометированный маркер, создайте новый маркер и обновите все службы, использующие старый маркер. Дополнительные сведения см. в разделе Создание personal access token для командной строки.
-
Для всех остальных секретов сначала убедитесь, что секрет, зафиксированный в GitHub, является допустимым. Если это так, создайте новый секрет, обновите все службы, использующие старый секрет, а затем удалите старый секрет.
Примечание. Если секрет обнаружен в общедоступном репозитории на GitHub.com и он также соответствует шаблону партнера, создается оповещение, и потенциальный секрет передается поставщику службы. Дополнительные сведения о шаблонах партнеров см. в разделе Поддерживаемые секреты для оповещений партнеров.
Настройка уведомлений для оповещения о проверке секретов
При обнаружении нового секрета GitHub уведомляет всех пользователей, имеющих доступ к оповещениям системы безопасности для репозитория, в соответствии с их настройками уведомлений. Вы получите уведомление по электронной почте, если следите за репозиторием, включили уведомления для оповещений системы безопасности или всех действий в репозитории, а также если являетесь автором фиксации, содержащей секрет, и не пропускаете этот репозиторий.
Дополнительные сведения см. в разделах Управление параметрами безопасности и анализа для репозитория и Настройка уведомлений.