Gestion des alertes à partir de l’analyse des secrets

Gestion des Alertes d’analyse de secrets

1. Dans GitHub.com, accédez à la page principale du dépôt. 1. Sous le nom du dépôt, cliquez sur Sécurité.

2. Dans la barre latérale gauche, sous « Alertes de vulnérabilité », cliquez sur Secret scanning .

3. Sous « Secret scanning », cliquez sur l’alerte que vous souhaitez afficher.

4. Si vous le souhaitez, si le secret divulgué est un jeton GitHub, vérifiez la validité du secret et suivez les étapes de correction. Si le jeton GitHub est actuellement actif, vous pouvez également passer en revue les métadonnées du jeton. Pour plus d’informations sur l’examen des métadonnées de jeton, consultez « Examen des métadonnées de jeton GitHub ».

   

   Remarque : La vérification de validité des jetons GitHub est actuellement en version bêta publique, et peut être amenée à changer.

   GitHub fournit des informations sur la validité du secret, uniquement pour les jetons GitHub.

   Validité	Résultats
   Secret actif	GitHub a confirmé que ce secret est actif
   Secret actif	GitHub a vérifié auprès du fournisseur de ce secret et a constaté que le secret est actif
   Secret éventuellement actif	GitHub ne prend pas encore en charge les vérifications de validation pour ce type de jeton
   Secret éventuellement actif	GitHub n’a pas pu vérifier ce secret
   Le secret est indiqué comme inactif	Vous devez vous assurer qu’aucun accès non autorisé n’a déjà eu lieu

5. Pour ignorer une alerte, sélectionnez le menu déroulant « Fermer comme », puis cliquez sur un motif pour résoudre une alerte.

   

6. Si vous le souhaitez, dans le champ « Commentaire », ajoutez un commentaire pour l’action Ignorer. Le commentaire de l’action Ignorer est ajouté à la chronologie des alertes et peut être utilisé comme justification lors de l’audit et de la création de rapports. Vous pouvez afficher l’historique de toutes les alertes ignorées et les commentaires de rejet dans la chronologie des alertes. Vous pouvez également récupérer ou définir un commentaire à l’aide de l’API Secret scanning. Le commentaire est contenu dans le champ resolution_comment. Pour plus d’informations, consultez « Analyse de secrets » dans la documentation de l’API REST.

7. Cliquez sur Fermer l’alerte.

Examen des métadonnées de jeton GitHub

Dans la vue d’une alerte de jeton GitHub active, vous pouvez passer en revue certaines métadonnées relatives au jeton. Ces métadonnées peuvent vous aider à identifier le jeton et à déterminer les étapes de correction à prendre. Pour plus d’informations sur l’affichage d’alertes individuelles, consultez « Gestion des alertes d’secret scanning ».

Les jetons, comme personal access token et d’autres informations d’identification, sont considérés comme des informations personnelles. Pour plus d’informations sur l’utilisation des jetons GitHub, consultez Déclaration de confidentialité et Stratégies d’utilisation acceptable de GitHub.

Les métadonnées des jetons GitHub sont disponibles pour les jetons actifs dans n’importe quel dépôt où l’analyse des secrets est activée. Si un jeton a été révoqué ou si son état ne peut pas être validé, les métadonnées ne sont pas disponibles. GitHub révoque automatiquement les jetons GitHub dans les dépôts publics, il est donc peu probable que les métadonnées des jetons GitHub dans les dépôts publics soient disponibles. Les métadonnées suivantes sont disponibles pour les jetons GitHub actifs :

Métadonnées	Description
Nom du secret	Nom donné au jeton GitHub par son créateur
Propriétaire du secret	Handle GitHub du propriétaire du jeton
Créé le	Date de création du jeton
A expiré le	Date d’expiration du jeton
Dernière utilisation le	Date de la dernière utilisation du jeton
Accès	Si le jeton dispose ou non d’un accès à l’organisation

Sécurisation des secrets compromis

Une fois qu’un secret a été commité dans un dépôt, vous devez considérer le secret comme compromis. GitHub recommande les actions suivantes pour les secrets compromis :

• Pour un GitHub personal access token compromis, supprimez le jeton compromis, créez un jeton et mettez à jour tous les services qui utilisent l’ancien jeton. Pour plus d’informations, consultez « Managing your personal access tokens ».

  • Si votre organisation appartient à un compte d’entreprise, identifiez toutes les actions effectuées par le jeton compromis sur les ressources de votre entreprise. Pour plus d’informations, consultez « Identification des événements du journal d’audit effectués par un jeton d’accès ».

• Pour tous les autres secrets, vérifiez d’abord que le secret commité dans GitHub Enterprise Cloud est valide. Si c’est le cas, créez un secret, mettez à jour tous les services qui utilisent l’ancien secret, puis supprimez l’ancien secret.

Remarque : Si un secret est détecté dans un dépôt public sur GitHub.com et qu’il correspond également à un modèle de partenaire, une alerte est générée et le secret potentiel est signalé au fournisseur de services. Pour les détails des modèles de partenaires, consultez « Modèles d’analyse des secrets ».

Configuration des notifications pour les Alertes d’analyse de secrets

Quand un nouveau secret est détecté, GitHub Enterprise Cloud avertit tous les utilisateurs ayant accès aux alertes de sécurité pour le dépôt en fonction de leurs préférences de notification. Vous recevrez une notification par e-mail si :

• vous surveillez le dépôt.
• vous avez activé les notifications pour « Toutes les activités » ou pour les « Alertes de sécurité » personnalisées sur le dépôt.
• dans vos paramètres de notification, sous « Abonnements », puis sous « Surveillance », vous avez choisi de recevoir les notifications par e-mail.

Vous serez également averti si vous êtes l’auteur de la validation qui contient le secret et que vous n’ignorez pas le dépôt.

1. Dans GitHub.com, accédez à la page principale du dépôt.

2. Pour commencer à surveiller le dépôt, sélectionnez Surveiller.

   

3. Dans le menu déroulant, cliquez sur Toutes les activités. Sinon, pour vous abonner uniquement aux alertes de sécurité, cliquez sur Personnalisé, puis sur Alertes de sécurité.

4. Accédez aux paramètres de notification de votre compte personnel. Ceux-ci sont disponibles sur https://github.com/settings/notifications.

5. Dans la page des paramètres de notification, sous « Abonnements », puis sous « Surveillance », sélectionnez la liste déroulante M’avertir.

6. Sélectionnez « E-mail » comme option de notification, puis cliquez sur Enregistrer.

   

Pour plus d’informations, consultez « Gestion des paramètres de sécurité et d’analyse pour votre dépôt » et « Configuration de vos paramètres de surveillance pour un dépôt spécifique ».

Audit des réponses aux alertes d’analyse des secrets

Vous pouvez auditer les actions effectuées en réponse aux alertes secret scanning à l’aide des outils GitHub. Pour plus d’informations, consultez « Audit des alertes de sécurité ».