Implementando a Verificação de Segredos em CI/CD

Visão Geral

Esta habilidade abrange a implementação da verificação automatizada de segredos em pipelines de CI/CD usando gitleaks e trufflehog. Ela permite que equipes de segurança detectem chaves de API, tokens, senhas e outras credenciais que foram acidentalmente commitadas em repositórios de código-fonte, fornecendo um portão de CI que bloqueia implantações contendo achados de alta gravidade.

O Gitleaks escaneia repositórios git e diretórios em busca de segredos codificados usando padrões regex e análise de entropia. O TruffleHog realiza varreduras no sistema de arquivos e no histórico do git com verificação opcional de segredos contra serviços ativos. Juntos, eles fornecem cobertura abrangente para a detecção de segredos.

Quando Usar

• Ao implantar ou configurar capacidades de implementação de verificação de segredos em ci cd em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Python 3.9 ou posterior
• gitleaks v8.x instalado e disponível no PATH
• trufflehog v3.x instalado e disponível no PATH
• Um repositório git ou diretório para escanear
• Acesso à plataforma de CI/CD (GitHub Actions, GitLab CI, Jenkins)

Passos

1. Instalar ferramentas de verificação: Instale o gitleaks via gerenciador de pacotes ou download binário. Instale o trufflehog via brew install trufflehog ou baixe das releases do GitHub.

2. Configurar o gitleaks: Crie um arquivo de configuração .gitleaks.toml na raiz do repositório para definir regras personalizadas, listas de permissão e exclusões de caminhos. Use o flag --config para apontar para configurações personalizadas.

3. Executar a verificação de diretório do gitleaks: Execute gitleaks dir --source . --report-format json --report-path gitleaks-report.json para escanear o diretório de trabalho e gerar um relatório JSON.

4. Executar a verificação do sistema de arquivos do trufflehog: Execute trufflehog filesystem /path/to/repo --json > trufflehog-report.json para escanear arquivos e gerar descobertas JSON em um arquivo de relatório.

5. Analisar e filtrar descobertas: Use o script do agente para analisar ambos os relatórios JSON, filtrar descobertas por gravidade (crítica, alta, média, baixa) e determinar se o pipeline de CI deve passar ou falhar.

6. Integrar ao pipeline de CI: Adicione a etapa de verificação ao seu fluxo de trabalho do GitHub Actions, configuração do GitLab CI ou pipeline do Jenkins como um portão de pré-implantação. Use o flag --exit-code no gitleaks para controlar o comportamento do pipeline.

7. Configurar hooks de pré-commit: Configure o gitleaks como um hook de pré-commit usando gitleaks protect --staged para capturar segredos antes que sejam commitados.

8. Revisar e triar descobertas: Examine a saída JSON em busca de falsos positivos, adicione entradas legítimas a .gitleaksignore e rotacione imediatamente quaisquer credenciais confirmadas como vazadas.

Saída Esperada

O script do agente produz um relatório JSON contendo:

• Contagem total de descobertas de cada scanner
• Descobertas agrupadas por nível de gravidade
• Detalhes individuais da descoberta, incluindo caminho do arquivo, número da linha, ID da regra e segredo redigido
• Um veredito do portão de CI (passar/falhar) com base no limite de gravidade configurado
• Metadados de execução, incluindo duração da verificação e versões das ferramentas

{
  "scan_summary": {
    "tool": "both",
    "total_findings": 3,
    "critical": 1,
    "high": 1,
    "medium": 1,
    "low": 0,
    "ci_gate": "FAIL",
    "fail_reason": "Found 1 critical and 1 high severity findings"
  },
  "findings": [...]
}