Pushschutz für Repositorys und Organisationen

Informationen zum Pushschutz für Repositorys und Organisationen

Bisher hat secret scanning nach einem Push nach Geheimnissen gesucht und Benutzer über kompromittierte Geheimnisse benachrichtigt. Wenn Sie den Pushschutz für Ihre Organisation oder Ihr Repository aktivieren, prüft secret scanning auch Pushnachrichten auf auf unterstützte Geheimnisse. Secret scanning listet alle erkannten Geheimnisse auf, sodass der Autor die Geheimnisse überprüfen und entfernen oder, falls erlaubt, die Weitergabe dieser Geheimnisse per Push erlauben kann. Secret scanning kann auch Pushvorgänge auf benutzerdefinierte Muster überprüfen. Weitere Informationen finden Sie unter „Definieren von benutzerdefinierten Mustern für die Geheimnisüberprüfung.“

Wenn Mitwirkende einen Pushschutzblock für ein Geheimnis umgehen, werden in GitHub folgende Schritte ausgeführt:

• Erstellen einer Warnung auf der Registerkarte Sicherheit des Repositorys.
• Hinzufügen des Umgehungsereignisses zum Überwachungsprotokoll
• Senden einer E-Mail-Warnung an Besitzerinnen eines Organisationskontos oder eines persönlichen Kontos, Sicherheitsmanagerinnen und Repositoryadministrator*innen, die das Repository beobachten, die einen Link zum Geheimnis und den Grund enthält, warum es zugelassen wurde

Diese Tabelle zeigt das Verhalten von Warnungen für die einzelnen Methoden, mit denen ein Benutzer einen Pushschutzblock umgehen kann.

Grund der Umgehung	Warnungsverhalten
Wird in Tests verwendet.	GitHub erstellt eine geschlossene Warnung, die als „In Tests verwendet“ aufgelöst wurde.
Ist ein falsch positives Ergebnis.	GitHub erstellt eine geschlossene Warnung, die als „False Positive“ aufgelöst wurde.
Wird später behoben.	GitHub erstellt eine offene Warnung.

Standardmäßig kann jeder Benutzer mit Schreibzugriff auf das Repository den Pushschutz umgehen, indem er einen der in der Tabelle beschriebenen Umgehungsgründe angibt. Wenn Sie eine bessere Kontrolle darüber haben möchten, welche Mitwirkenden den Push-Schutz umgehen können und welche Pushs, die Geheimnisse enthalten, zugelassen werden sollen, können Sie die delegierte Umgehung des Push-Schutzes aktivieren. Mit der delegierten Umgehung können Sie eine bestimmte Gruppe von Prüfern konfigurieren, die Anfragen zur Umgehung des Push-Schutzes von Mitwirkenden, die in das Repository pushen, beaufsichtigen und verwalten. Weitere Informationen finden Sie unter „Aktivieren der delegierten Umgehung für den Push-Schutz.“

Auf der Warnungsseite „secret scanning“ für ein Repository oder eine Organisation können Sie den bypassed:true-Filter anwenden, um leicht zu erkennen, welche Warnungen das Ergebnis der Umgehung des Push-Schutzes durch einen Benutzer sind. Weitere Informationen zur Anzeige dieser Warnmeldungen finden Sie unter „Verwalten von Warnungen aus der Geheimnisüberprüfung.“

Du kannst Sicherheitswarnungen überwachen, um festzustellen, wann Benutzer*innen Pushschutzmaßnahmen umgehen und Warnungen generieren. Weitere Informationen findest du unter Prüfen von Sicherheitswarnungen.

Wenn Sie Organisationsbesitzerin oder Sicherheitsmanagerin sind, können Sie Metriken zur Leistung des Pushschutzes in Ihrer Organisation anzeigen. Weitere Informationen findest du unter Anzeigen von Metriken für den Pushschutz bei der Geheimnisüberprüfung in deiner Organisation.

Weitere Informationen zu Geheimnissen und Dienstanbietern, für die der Pushschutz unterstützt wird, findest du unter Geheimnisüberprüfungsmuster.

Aktivieren von secret scanning als Pushschutz

Damit du secret scanning als Pushschutz in öffentlichen Repositorys verwenden kannst, muss für das Unternehmen, die Organisation oder das Repository secret scanning aktiviert sein. Um secret scanning als Pushschutz in privaten oder internen Repositorys oder in Repositorys von Benutzern for Enterprise Managed Users zu verwenden, muss für das Unternehmen oder die Organisation auch GitHub Advanced Security aktiviert sein. Weitere Informationen findest du unter Verwalten von GitHub Advanced Security-Features für dein Unternehmen, Verwalten von Sicherheits- und Analyseeinstellungen für deine Organisation, Verwalten von Sicherheits- und Analyseeinstellungen für dein Repository und Informationen zu GitHub Advanced Security.

Organisationsbesitzerinnen, Sicherheitsmanagerinnen und Repositoryadministrator*innen können zudem den Pushschutz für secret scanning über die API aktivieren. Weitere Informationen findest du unter „REST-API-Endpunkte für Repositorys“. Erweitere den Abschnitt „Eigenschaften des security_and_analysis-Objekts“.

Organisationsbesitzer*innen können einen benutzerdefinierten Link bereitstellen, der angezeigt wird, wenn ein Push blockiert wird. Dieser benutzerdefinierte Link kann organisationsspezifische Ressourcen und Ratschläge enthalten, z. B. Anweisungen zur Verwendung eines empfohlenen Tresors für Geheimnisse, oder wer zu Fragen im Zusammenhang mit dem blockierten Geheimnis kontaktiert werden kann.

Sie können den Push-Schutz auch für alle Ihre bestehenden benutzereigenen öffentlichen Repositorys über Ihre persönlichen Kontoeinstellungen aktivieren. Für alle neuen öffentlichen Repositorys, die Sie erstellen, wird der Push-Schutz standardmäßig aktiviert. Weitere Informationen findest du unter Konfigurieren der Geheimnisüberprüfung für deine Repositorys.

Unternehmensadministratoren können auch secret scanning als Push-Schutz für das Unternehmen über die API aktivieren oder deaktivieren. Weitere Informationen findest du unter REST-API-Endpunkte für die Sicherheit und Analyse von Enterprise-Code.

Aktivieren von secret scanning als Pushschutz für dein Repository

1. Klicke in der oberen rechten Ecke von GitHub.com auf dein Profilfoto und dann auf Deine Unternehmen.

2. Klicke in der Liste der Unternehmen auf das Unternehmen, das du anzeigen möchtest.

3. Wähle auf der Randleiste des Unternehmenskontos die Option Einstellungen aus.

4. Klicke in der linken Randleiste auf Codesicherheit und -analyse.

5. Klicke unter „Secret scanning“ unter „Pushschutz“ auf Alle aktivieren.

   

6. Klicken Sie optional auf Automatisch für zu secret scanning hinzugefügte Repositorys aktivieren.

7. Wenn du optional einen benutzerdefinierten Link in die Meldung einfügen möchtest, die Mitgliedern angezeigt wird, wenn diese versuchen, ein Geheimnis zu pushen, wähle Ressourcenlink in CLI und Webbenutzeroberfläche hinzufügen, wenn ein Commit blockiert ist aus, gib eine URL ein, und klicke auf Link speichern.

   

Aktivieren von secret scanning als Pushschutz für eine Organisation

In der Sicherheitsübersicht findest du eine Reihe von Repositorys, für die du secret scanning als Pushschutz gleichzeitig aktivieren oder deaktivieren kannst. Weitere Informationen findest du unter Aktivieren von Sicherheitsfeatures für mehrere Repositorys.

Du kannst auch die Organisationseinstellungsseite für „Codesicherheit und -analyse“ verwenden, um secret scanning als Pushschutz für alle vorhandenen Repositorys in einer Organisation zu aktivieren oder zu deaktivieren.

1. Navigiere auf GitHub.com zur Hauptseite der Organisation.

2. Klicke unter deinem Organisationsnamen auf die Option Einstellungen. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.

   

3. Klicke im Abschnitt „Sicherheit“ auf der Randleiste auf Codesicherheit und -analyse.

1. Suche unter „Codesicherheit und Analyse“ GitHub Advanced Security".

2. Klicke unter „Secret scanning“ unter „Pushschutz“ auf Alle aktivieren.

3. Klicken Sie optional auf Automatisch für zu secret scanning hinzugefügte Repositorys aktivieren.

4. Wenn du optional einen benutzerdefinierten Link in die Nachricht einfügen möchtest, die Mitgliedern bei dem Versuch zum Pushen eines Geheimnisses angezeigt wird, wähle Ressourcenlink in CLI und Webbenutzeroberfläche hinzufügen, wenn ein Commit blockiert ist aus, gib eine URL ein, und klicke auf Link speichern.

   

Weitere Informationen zum Aktivieren von Sicherheitsfeatures in einer Organisation findest du unter „Schnellstart für die Sicherung Ihrer Organisation“.

Aktivieren von secret scanning als Pushschutz für ein Repository

1. Navigiere auf GitHub.com zur Hauptseite des Repositorys.

2. Wähle unter dem Namen deines Repositorys die Option Einstellungen aus. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.

   

3. Klicke im Abschnitt „Sicherheit“ auf der Randleiste auf Codesicherheit und -analyse.

4. Suche unter „Codesicherheit und Analyse“ GitHub Advanced Security".

5. Klicke unter „Secret scanning“ unter „Pushschutz“ auf Aktivieren.

Aktivieren des Pushschutzes für ein benutzerdefiniertes Muster

Du kannst secret scanning als Pushschutz für benutzerdefinierte Muster aktivieren, die auf Unternehmens-, Organisations- oder Repositoryebene gespeichert sind.

Aktivieren des Pushschutzes für ein benutzerdefiniertes Muster, das in einem Unternehmen gespeichert ist

Bevor du den Pushschutz für ein benutzerdefiniertes Muster auf Unternehmensebene aktivierst, musst du deine benutzerdefinierten Muster auch mithilfe von Probeläufen testen. Du kannst einen Testlauf nur für Repositorys ausführen, auf die du Administratorzugriff hast. Unternehmensbesitzer*innen, die Zugriff zum Ausführen von Testläufen für ein Repository in einer Organisation wünschen, muss die Rolle „Organisationsbesitzer“ zugewiesen sein. Weitere Informationen findest du unter Verwalten deiner Rolle in einer Organisation, die deinem Unternehmen gehört.

1. Klicke in der oberen rechten Ecke von GitHub.com auf dein Profilfoto und dann auf Deine Unternehmen.

2. Klicke in der Liste der Unternehmen auf das Unternehmen, das du anzeigen möchtest.

3. Wähle auf der Randleiste des Unternehmenskontos die Option Richtlinien aus. 1. Klicke unter „ Richtlinien“ auf Codesicherheit und -analyse.

4. Klicke unter „Codesicherheit und -analyse“ auf Sicherheitsfeatures. 1. Klicke unter „Secret scanning“ und „Benutzerdefinierte Muster“ bei dem Muster, das du bearbeiten möchtest, auf .

   Note

   Auf Unternehmensebene kannst du den Push-Schutz nur für benutzerdefinierte Muster bearbeiten und aktivieren, die du erstellt hast.

5. Um den Pushschutz für dein benutzerdefiniertes Muster zu aktivieren, scrolle nach unten zu „Pushschutz“, und klicke auf Aktivieren.

   Note

   Die Option zum Aktivieren des Pushschutzes ist nur für veröffentlichte Muster sichtbar.

   

Aktivieren von secret scanning als Pushschutz in einer Organisation für ein benutzerdefiniertes Muster

Bevor du den Pushschutz für ein benutzerdefiniertes Muster auf Organisationsebene aktivierst, musst du sicherstellen, dass du secret scanning für die Repositorys aktivierst, die du in deiner Organisation überprüfen möchtest. Informationen zum Aktivieren von secret scanning für alle Repositorys in deiner Organisation findest du unter Verwalten von Sicherheits- und Analyseeinstellungen für deine Organisation.

1. Wähle in der oberen rechten Ecke von GitHub.com dein Profilfoto aus. Klicke dann auf Deine Organisationen.

   

2. Klicke neben der Organisation auf Einstellungen.

3. Klicke im Abschnitt „Sicherheit“ auf der Randleiste auf Codesicherheit und -analyse.

1. Suche unter „Codesicherheit und Analyse“ GitHub Advanced Security".

2. Klicke unter „Secret scanning“ und „Benutzerdefinierte Muster“ bei dem Muster, das du bearbeiten möchtest, auf .

3. Um den Pushschutz für dein benutzerdefiniertes Muster zu aktivieren, scrolle nach unten zu „Pushschutz“, und klicke auf Aktivieren.

   Hinweise:

   • Die Option zum Aktivieren des Pushschutzes ist nur für veröffentlichte Muster sichtbar.
   • Der Pushschutz für benutzerdefinierte Muster wird nur auf Repositorys in deiner Organisation angewendet, bei denen die secret scanning als Pushschutz aktiviert ist. Weitere Informationen findest du unter Pushschutz für Repositorys und Organisationen.
   • Die Aktivierung des Pushschutzes für häufig vorkommende benutzerdefinierte Muster kann für Mitwirkende störend sein.
   

Aktivieren von secret scanning als Pushschutz in einem Repository für ein benutzerdefiniertes Muster

Bevor du den Pushschutz für ein benutzerdefiniertes Muster auf Repositoryebene aktivierst, musst du das benutzerdefinierte Muster für das Repository definieren und im Repository testen. Weitere Informationen findest du unter Definieren von benutzerdefinierten Mustern für die Geheimnisüberprüfung.

1. Navigiere auf GitHub.com zur Hauptseite des Repositorys.

2. Wähle unter dem Namen deines Repositorys die Option Einstellungen aus. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.

   

3. Klicke im Abschnitt „Sicherheit“ auf der Randleiste auf Codesicherheit und -analyse.

4. Suche unter „Codesicherheit und Analyse“ GitHub Advanced Security".

5. Klicke unter „Secret scanning“ und „Benutzerdefinierte Muster“ bei dem Muster, das du bearbeiten möchtest, auf .

6. Um den Pushschutz für dein benutzerdefiniertes Muster zu aktivieren, scrolle nach unten zu „Pushschutz“, und klicke auf Aktivieren.

   Note

   Die Option zum Aktivieren des Pushschutzes ist nur für veröffentlichte Muster sichtbar.

   

Aktivieren der delegierten Umgehung für den Pushschutz

Mit der delegierten Umgehung des Push-Schutzes können Sie steuern, wer den Push-Schutz umgehen kann und welche gesperrten Pushs zugelassen werden sollen.

Wenn Sie den Push-Schutz aktivieren, kann jeder, der Schreibzugriff auf das Repository hat, den Schutz umgehen, indem er einen Grund für die Genehmigung des Pushs angibt, der ein Geheimnis enthält. Bei der delegierten Umgehung sind die Mitwirkenden an einem Repository stattdessen verpflichtet, „Umgehungsrechte“ zu beantragen. Die Anforderung wird an eine bestimmte Gruppe von Prüfern gesendet, die die Anforderung zum Umgehen des Pushschutzes genehmigen oder verweigern.

Wenn die Anforderung, den Push-Schutz zu umgehen, genehmigt wird, kann der Mitwirkende den Commit, der das Geheimnis enthält, pushen. Wenn die Anforderung abgelehnt wird, muss der Mitwirkende das Geheimnis aus dem Commit (oder den Commits) entfernen, der/die das Geheimnis enthält/enthalten, bevor er es erneut veröffentlicht.

Um die delegierte Umgehung zu konfigurieren, erstellen Organisationsbesitzer oder Repositoryadministratoren zuerst eine „Umgehungsliste.“ Die Umgehungsliste umfasst bestimmte Rollen und Teams, z. B. das Sicherheitsteam oder Repositoryadministratoren, die Anforderungen von Nichtmitgliedern überwachen, um Pushschutz zu umgehen. Weitere Informationen finden Sie unter „Konfigurieren der delegierten Umgehung für eine Organisation“ und „Konfigurieren der delegierten Umgehung für ein Repository“.

Mitglieder der Listenansicht zur Umgehung und Verwalten von Anforderungen über die Seite „Pushschutzumgehung“ auf der Registerkarte Sicherheit des Repositorys. Weitere Informationen finden Sie unter Verwalten von Anforderungen zum Umgehen des Pushschutzes.

Die Mitglieder der Umgehungsliste sind weiterhin davor geschützt, versehentlich Geheimnisse in ein Repository zu pushen. Wenn ein Mitglied der Umgehungsliste versucht, einen Commit zu veröffentlichen, der ein Geheimnis enthält, wird sein Push immer noch gesperrt, aber er kann die Sperre umgehen, indem er einen Grund angibt, warum er den Push zulässt. Mitglieder der Umgehungsliste müssen keine Umgehungsberechtigungen von anderen Mitgliedern anfordern, um die Sperre außer Kraft zu setzen.

Konfigurieren der delegierten Umgehung für eine Organisation

1. Navigiere auf GitHub.com zur Hauptseite der Organisation.

2. Klicke unter deinem Organisationsnamen auf die Option Einstellungen. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.

   

3. Klicke im Abschnitt „Sicherheit“ auf der Randleiste auf Codesicherheit und -analyse.

1. Wählen Sie unter „Pushschutz“ rechts neben „Wer den Pushschutz für secret scanning umgehen kann“, das Dropdownmenü aus und klicken Sie dann auf Bestimmte Rollen oder Teams.
2. Klicken Sie unter „Umgehungsliste“ auf Rolle oder Team hinzufügen.
3. Wählen Sie im Dialogfeld die Rollen und Teams aus, die Sie der Umgehungsliste hinzufügen möchten und klicken Sie dann auf Ausgewählte hinzufügen.

Konfigurieren der delegierten Umgehung für ein Repository

1. Navigiere auf GitHub.com zur Hauptseite des Repositorys.

2. Wähle unter dem Namen deines Repositorys die Option Einstellungen aus. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.

   

3. Klicke im Abschnitt „Sicherheit“ auf der Randleiste auf Codesicherheit und -analyse.

4. Suche unter „Codesicherheit und Analyse“ GitHub Advanced Security".

5. Wählen Sie unter „Pushschutz“ rechts neben „Wer den Pushschutz für secret scanning umgehen kann“, das Dropdownmenü aus und klicken Sie dann auf Bestimmte Rollen oder Teams.

6. Klicken Sie unter „Umgehungsliste“ auf Rolle oder Team hinzufügen.

7. Wählen Sie im Dialogfeld die Rollen und Teams aus, die Sie der Umgehungsliste hinzufügen möchten und klicken Sie dann auf Ausgewählte hinzufügen.

Verwalten von Anforderungen zum Umgehen des Pushschutzes

Sie können alle Anforderungen für Umgehungsberechtigungen auf der Seite „Pushschutzumgehung“ anzeigen und verwalten, die sich auf der Registerkarte Sicherheit des Repositorys befindet.

Sie können Anfragen nach Genehmiger (Mitglied der Umgehungsliste), anfordernde Person (Antragsteller), Zeitrahmen und Status filtern. Einer Anforderung werden die folgenden Status zugewiesen:

Status	Beschreibung
Cancelled	Die Anforderung wurde vom Mitwirkender abgebrochen.
Completed	Die Anforderung wurde genehmigt und der Commit(s) wurde an das Repository verschoben.
Denied	Die Anforderung wurde überprüft und abgelehnt.
Expired	Die Anforderung ist abgelaufen. Anforderungen sind sieben Tage gültig.
Open	Die Anforderung wurde entweder noch nicht überprüft oder wurde genehmigt, aber der Commit(s) wurde nicht an das Repository verschoben.

Wenn ein Mitwirkender Umgehungsrechte anfordert, um einen Commit zu veröffentlichen, der ein Geheimnis enthält, erhalten alle Mitglieder der Umgehungsliste eine E-Mail-Benachrichtigung mit einem Link zu der Anforderung. Mitglieder der Umgehungsliste haben dann sieben Tage Zeit, die Anforderung zu überprüfen und zu genehmigen oder zu verweigern, bevor die Anforderung abläuft.

Die Mitwirkender wird per E-Mail über die Entscheidung informiert und muss die erforderlichen Maßnahmen ergreifen. Wenn die Anforderung genehmigt wird, kann der Mitwirkende den Commit, der das Geheimnis enthält, in das Repository stellen. Wird die Anforderung abgelehnt, muss der Mitwirkende das Geheimnis aus dem Commit entfernen, um den Commit erfolgreich in das Repository zu übertragen.

Verwalten von Anforderungen zum Umgehen des Pushschutzes auf Repositoryebene

1. Navigiere auf GitHub.com zur Hauptseite des Repositorys.
2. Wähle unter dem Repositorynamen die Option Sicherheit aus. Wenn die Registerkarte „Sicherheit“ nicht angezeigt wird, wähle im Dropdownmenü die Option Sicherheit aus.
   
3. Klicken Sie in der linken Randleiste unter „Anforderungen“ auf Push-Schutzumgehung.
4. Wählen Sie das Einblendmenü Alle Status aus und klicken Sie dann auf Öffnen, um Anforderungen anzuzeigen, die auf die Überprüfung warten.
5. Klicken Sie auf die Anforderung, die Sie überprüfen möchten.
6. Überprüfen Sie die Details der Anforderung.
7. Um dem Mitwirkenden zu erlauben, den Commit, der das Geheimnis enthält, zu pushen, klicken Sie auf Umgehungsanforderung genehmigen. Oder klicken Sie auf Umgehungsanforderung verweigern, wenn Sie den Mitwirkenden auffordern möchten, das Geheimnis aus dem Commit zu entfernen.

Weiterführende Themen

• Pushen eines durch Pushschutz blockierten Branches
• Arbeiten mit Push-Schutz