„Secret Scanning“-Option für GitHub Advanced Security GitHub prüft vor Push-Befehl auf Datenabfluss

Von Stephan Augsten

Um den ungewollten Abfluss sensibler Daten zu verhindern, wurde GitHub Advanced Security um einen Secret-Scan erweitert. Dieser greift, bevor ein Git-Push-Befehl angenommen und ausgeführt wird.

Anbieter zum Thema

Das Secret-Scanning von GitHub soll unerwünschten Datenabfluss bei Git-Push-Befehlen verhindern.
Das Secret-Scanning von GitHub soll unerwünschten Datenabfluss bei Git-Push-Befehlen verhindern.
(Bild: GitHub)

Die neue Push-Schutzfunktion des GitHub Secret Scanning bettet das Überprüfen auf versehentlich preisgegebene Informationen direkt in den Arbeitsablauf von Entwicklungsteams ein. Da die Produktivität der Developer darunter aber nicht leiden soll, unterstützt dieser Schutz nur Token-Typen, die genau erkannt werden können.

Sobald Entwicklerinnen und Entwickler einen Push anstoßen, scannt GitHub Advanced Security den Code auf sensible Informationen. Wird ein Secret eindeutig erkannt, blockiert das System den Push automatisch. Man prüfe dabei Stand April 2022 auf über 100 verschiedene Token-Typen, um Geheimnisse zu erkennen.

Nach dem Blockieren können Entwickler die Geheimnisse überprüfen und aus ihrem Code entfernen, bevor sie diesen erneut veröffentlichen. In seltenen Fällen, in denen eine sofortige Behebung nicht sinnvoll ist, können Entwickler das Geheimnis als Fehlalarm (false positive), Testfall oder reale Instanz einstufen und das Problem später beheben. Hierfür generiert GitHub eine offene Sicherheitswarnung für Developer und Repository-Admins.

Teams können die gesamte Gefahrenlage in der Sicherheitsübersicht auf Organisations- und Unternehmensebene zurückverfolgen. Um den Push-Schutz zu nutzen, müssen Kunden von GitHub Advanced Security diesen auf Repository- und Unternehmensebene per Klick in der Benutzeroberfläche oder über die API aktivieren.

Weitere Informationen über das Secret Scanning von GitHub Advanced Security in den GitHub Docs.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

(ID:48189034)