企業向けシークレットスキャンの公開監視機能

GitHub は、組織が秘密の漏洩リスクをどこで発生しても認識し対処できるよう支援することで、開発者コミュニティを強化することにコミットしています。私たちは、企業は GitHub 上のどこで秘密が公開された瞬間にもそれを把握すべきだと考えています。そのため、GitHub Secret Protection を持つ企業の皆様向けに、追加費用なしで「パブリックモニタリング」の一般プレビューを開始しました。秘密は境界線を尊重しませんので、それらのスキャンも同様であるべきです。 ![image](https://github.com/user-attachments/assets/865a771a-d17b-41aa-853d-faf200032142) パブリックモニタリングとは何ですか？ GitHub は、github.com のすべての公開領域をリアルタイムで監視し、漏洩した秘密を検出します。パブリックモニタリングでは、その秘密がどこからコミットされたかに基づき、企業に帰属させます。 ![image](https://github.com/user-attachments/assets/22740d24-b1f7-4410-a686-a5e575a6a182) 秘密のスキャン（Secret scanning）は、これまであなたが所有するリポジトリを保護してきました。しかし、秘密はその境界線を越えて漏洩します。例えば、開発者が個人フォークやオープンソースプロジェクトにコミットしたり、公開されたイシューやプルリクエストにトークンを貼り付けたりすることがあります。これは多くの場合、セキュリティチームが追跡していないアカウントから行われます。このような露出はこれまでほぼ発見不可能であり、悪意のあるアクターによって悪用されて初めて表面化することがほとんどでした。 公開モニタリングはこのギャップを埋めます。この機能はこれらの脆弱性を発見し、貴社に帰属させることで迅速な対応を可能にします。この機能は github.com 上のあらゆる公開コンテンツ（git コンテンツ、プルリクエストのコメント、GitHub イシューを含む）で漏洩したシークレットを検索し、GitHub のアイデンティティレイヤーと検証済みドメインを通じて、それぞれをネイティブに貴社に帰属させます。 アクティビティが GitHub 上で行われるため、帰属処理も同様に、リアルタイム（夜間の非同期クロールではなく）、ネイティブプラットフォームメタデータに基づく確定的なものであり（コミットメールからの推測ではなく）、任意の公開リポジトリ全体にわたって行われます。 公開モニタリングはセットアップや設定を必要とせず、「そのまま」動作します。有効化するだけで結果を確認できます。 帰属処理はどのように機能するのでしょうか？ GitHub は、主に 2 つのヒューリスティック（推定手法）を用いて、公開された発見事項を貴社に帰属させます。これには GitHub のアイデンティティレイヤー、ドメイン検証、トークンメタデータ全体からのメタデータが活用されます。 方法 | 確認内容 | 検出対象 ---|---|--- メンバーベースの帰属 | コミッターの GitHub アカウントが貴社の企業メンバーに所属しているか | 管理されたアカウントおよび既知のメンバーからの漏洩 検証済みドメイン一致 | コミッターのメールが、組織または企業が検証済みのドメインに含まれているか | ワーク用メールアドレスを使用する個人アカウントからの漏洩 検証済みドメインの一致は、アカウントがエンタープライズにリンクされていない場合や、電子メールが公開されていない場合でも適用されます。各検出結果には、その原因となった方法、シークレットの種類、公開場所（例：ファイル、イシュー、プルリクエスト、ディスカッションなど）、コミッターが表示されます。 パブリックモニタリングを有効にする方法は？ エンタープライズの所有者およびエンタープライズセキュリティマネージャーは、[Security] タブからパブリックモニタリングを有効にできます。一度有効化すると、最近漏洩したシークレットを確認でき、GitHub が将来の一致を検索し始めます。 詳細情報 シークレットスキャンおよびパブリックモニタリングの詳細については、製品ドキュメントをご覧ください。フィードバックはありますか？ディスカッションに参加して教えていただければ幸いです—私たちは耳を傾けています。

企業向けシークレットスキャンの公開監視機能

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト