アラートの評価について
アラートの優先順位付けと管理を強化するため、アラートを評価するうえで便利な追加機能がいくつかあります。 次のことを実行できます。
- シークレットの有効性をチェックし、シークレットがまだアクティブかどうかを確認します。 詳細については、「シークレットの有効性のチェック」を参照してください。
- "オンデマンド"の有効性チェックを実行し、最新の有効性の状態を取得します。 詳細については、「オンデマンドの有効性チェックの実行」を参照してください。
- トークンのメタデータを確認します。 GitHubトークンにのみ適用されます。 たとえば、トークンが最後に使用された日時を確認します。 詳細については、「GitHub トークン メタデータの確認」を参照してください。
- アラートに割り当てられているラベルを確認します。 詳細については、「アラート ラベルの確認」を参照してください。
シークレットの有効性の確認
有効性チェックは、どのシークレットが“active
“または“inactive
“なのかについて教え、アラートの優先順位付けに役立ちます。 “active
“のシークレットは引き続き悪用される可能性があるため、これらのアラートを確認して優先事項として修復する必要があります。
既定では、GitHubはGitHubトークンの有効性をチェックし、アラート ビューにトークンの有効性の状態を表示します。
有効期限までの日数 | 状態 | 結果 |
---|---|---|
アクティブなシークレット | active | GitHub はこのシークレットのプロバイダーでチェックし、シークレットがアクティブであることを確認しました |
アクティブである可能性があるシークレット | unknown | GitHub は、このトークンの種類の有効性チェックをまだサポートしていません |
アクティブである可能性があるシークレット | unknown | GitHub はこのシークレットを検証できませんでした |
シークレットが非アクティブ | inactive | 未承認のアクセスが既に行われていないことを確認する必要があります |
パートナー パターンの有効性チェックは、GitHub のすべての種類のリポジトリで使用できます。 この機能を使用するには、GitHub Advanced Security のライセンスが必要です。
パートナー パターンの有効性チェックを有効にする方法の詳細については、「リポジトリの有効性チェックの有効化」を参照してください。現在サポートされているパートナー パターンの詳細については、「サポートされているシークレット スキャン パターン」を参照してください。
REST API を使用して、各トークンの最新の検証状態の一覧を取得できます。 詳しくは、REST API ドキュメントの「シークレット スキャン用の REST API エンドポイント」をご覧ください。 Webhook を使用して、secret scanning アラートに関連するアクティビティの通知を受け取ることもできます。 詳細については、「Webhook のイベントとペイロード」の secret_scanning_alert
イベントをご覧ください。
GitHub Copilot Chat に secret scanning アラートについて問い合わせる
GitHub Copilot Enterprise ライセンスを使用すると、Copilot Chat に問い合わせて、組織内のリポジトリにある secret scanning アラートを含むセキュリティ アラートについて理解を深めることができます。 詳しくは、「Asking GitHub Copilot questions in GitHub」を参照してください。
オンデマンドの有効性チェックの実行
リポジトリでパートナー パターンに有効性チェックを有効にすると、アラート ビューで[シークレットの検証] をクリックすることにより、サポートされているシークレットに“オンデマンド“の有効性チェックを実行できます。 GitHub は、関連するパートナーにパターンを送信し、アラート ビューにシークレットの検証状態を表示します。
GitHub トークン メタデータの確認
Note
現在、GitHub トークンのメタデータは パブリック プレビュー であり、変更される可能性があります。
アクティブな GitHub トークン アラートのビューでは、そのトークンに関する特定のメタデータを確認できます。 このメタデータは、トークンを識別したり実行すべき修復手順を判断するのに役立ちます。
personal access token などのトークンやその他の資格情報は、個人情報と見なされます。 GitHub トークンの使用について詳しくは、「GitHub のプライバシーに関する声明」と「GitHub 利用規約」をご覧ください。
GitHub トークンのメタデータは、シークレット スキャンが有効になっているリポジトリ内にあるアクティブなトークンに使うことができます。 トークンが取り消された場合や状態を検証できない場合は、メタデータを使うことができません。 GitHub によってパブリック リポジトリ内にある GitHub トークンが自動的に取り消されるため、パブリック リポジトリ内にある GitHub トークンのメタデータを使うことができる可能性はあまりありません。 次のメタデータは、アクティブな GitHub トークンに使うことができます。
メタデータ | 説明 |
---|---|
シークレット名 | 作成者が GitHub に付けた名前 |
シークレットの所有者 | トークンの所有者の GitHub ハンドル |
[作成日] | トークンが作成された日付 |
有効期限切れ | トークンの有効期限が切れた日付 |
最終使用日 | トークンが最後に使用された日付 |
Access | トークンに Organization のアクセス権があるかどうか |
漏洩したシークレットを含むリポジトリに対して管理者のアクセス許可を持つユーザーのみが、アラートのセキュリティ アラート詳細およびトークン メタデータを閲覧できます。 企業所有者は、この目的のためにリポジトリへの一時的なアクセスを要求できます。アクセスが許可されている場合、GitHubは漏洩したシークレットを含むリポジトリの所有者に通知し、リポジトリ所有者および企業の監査ログでアクションを報告して、アクセスを 2 時間有効にします。詳細については、「エンタープライズ内のユーザー所有のリポジトリにアクセスする」を参照してください。
アラート ラベルの確認
アラート ビューでは、アラートに割り当てられているラベルを確認できます。 ラベルにはアラートに関する追加の詳細が表示され、修復のために実行するアプローチを通知できます。
Secret scanning アラートには、次のラベルを割り当てることができます。 割り当てられたラベルに応じて、アラート ビューに追加情報が表示されます。
Label | 説明 | アラート ビュー情報 |
---|---|---|
public leak | リポジトリで検出されたシークレットは、GitHub のコード、ディスカッション、gist、問題、pull request、Wiki のスキャンの少なくとも 1 つによって、パブリックにリークされていることが検出されました。 これにより、緊急度の高いアラートに対処したり、プライベートに公開されたトークンとは異なる方法でアラートを修復したりする必要がある場合があります。 | 漏洩したシークレットが検出された特定のパブリックな場所へのリンクが表示されます。 |
multi-repo | リポジトリで検出されたシークレットは、Organization または Enterprise 内の複数のリポジトリで検出されました。 この情報は、Organization または Enterprise 全体のアラートをより簡単に重複排除するのに役立ちます。 | 適切なアクセス許可がある場合は、Organization または Enterprise 内の同じシークレットに対する特定のアラートへのリンクが表示されます。 |