Über das Auswerten von Warnungen
Es gibt einige zusätzliche Features, mit denen Sie Warnungen auswerten können, um sie besser zu priorisieren und zu verwalten. Sie können Folgendes ausführen:
- Überprüfen Sie die Gültigkeit eines Geheimnisses, um festzustellen, ob das Geheimnis noch aktiv ist. Weitere Informationen findest du unter Überprüfen der Gültigkeit eines Geheimnisses.
- Überprüfen Sie die Metadaten eines Tokens. Gilt nur für GitHub-Token. Um beispielsweise zu sehen, wann das Token zuletzt verwendet wurde. Weitere Informationen findest du unter Überprüfen von GitHub-Tokenmetadaten.
Überprüfen der Gültigkeit eines Geheimnisses
Gültigkeitsprüfungen helfen Ihnen, Warnungen zu priorisieren, indem Sie ihnen mitteilen, welche Geheimnisse active oder inactive sind. Ein active-Geheimnis kann weiterhin ausgenutzt werden, sodass diese Warnungen als Priorität überprüft und behoben werden sollten.
Standardmäßig überprüft GitHub die Gültigkeit von GitHub-Token und zeigt den Gültigkeitsstatus des Tokens in der Warnungsansicht an.
Organisationen, die GitHub Team oder GitHub Enterprise Cloud mit einer Lizenz für GitHub Advanced Security verwenden, können Gültigkeitsprüfungen ebenfalls für Partnermuster aktivieren. Weitere Informationen findest du unter Überprüfen der Gültigkeit eines Geheimnisses.
| Gültigkeitsdauer | Status | Ergebnis |
|---|---|---|
| Aktives Geheimnis | active | GitHub hat beim Anbieter dieses Geheimnisses nachgefragt und ermittelt, dass dieses Geheimnis aktiv ist. |
| Möglicherweise aktives Geheimnis | unknown | GitHub bietet noch keine Gültigkeitsüberprüfungen für diesen Tokentyp. |
| Möglicherweise aktives Geheimnis | unknown | GitHub konnte dieses Geheimnis nicht überprüfen. |
| Geheimnis inaktiv | inactive | Du solltest sicherstellen, dass noch kein unautorisierter Zugriff erfolgt ist. |
Sie können die REST-API verwenden, um eine Liste des neuesten Überprüfungsstatus für jedes Ihrer Token abzurufen. Weitere Informationen findest du in der REST-API-Dokumentation unter REST-API-Endpunkte für die Geheimnisüberprüfung. Sie können auch Webhooks verwenden, um über Aktivitäten im Zusammenhang mit einer secret scanning-Warnung benachrichtigt zu werden. Weitere Informationen findest du im Abschnitt zum secret_scanning_alert-Ereignis unter Webhook-Ereignisse und -Nutzlasten.
Überprüfen von GitHub-Tokenmetadaten
Note
Metadaten für GitHub-Token befinden sich derzeit in der public preview und können noch geändert werden.
In der Ansicht für eine aktive GitHub-Tokenwarnung kannst du bestimmte Metadaten zum Token überprüfen. Diese Metadaten können dir helfen, das Token zu identifizieren und zu entscheiden, welche Korrekturschritte ausgeführt werden sollen.
Token wie personal access token und andere Anmeldeinformationen werden als personenbezogene Daten betrachtet. Weitere Informationen zur Verwendung von GitHub-Token finden Sie unter GitHub-Datenschutzerklärung und Richtlinien zur akzeptablen Nutzung von GitHub.
Metadaten für GitHub-Token sind für aktive Token in jedem Repository mit aktivierter Geheimnisüberprüfung verfügbar. Wenn ein Token widerrufen wurde oder sein Status nicht überprüft werden kann, sind keine Metadaten verfügbar. GitHub widerruft GitHub-Token in öffentlichen Repositorys automatisch. Daher ist es unwahrscheinlich, dass Metadaten für GitHub-Token in öffentlichen Repositorys verfügbar sind. Die folgenden Metadaten sind für aktive GitHub-Token verfügbar:
| Metadaten | Beschreibung |
|---|---|
| Geheimnisname | Der Name, der dem GitHub-Token vom Ersteller/der Erstellerin zugewiesen wurde |
| Geheimnisbesitzer*in | Das GitHub-Handle des Tokenbesitzers/der Tokenbesitzerin |
| Erstellt am | Erstellungsdatum des Tokens |
| Abgelaufen am | Ablaufdatum des Tokens |
| Zuletzt verwendet am | Datum der letzten Verwendung des Tokens |
| Access | Gibt an, ob das Token über Organisationszugriff verfügt |
Nur Personen mit Admin-Berechtigungen für das Repository, das ein durchgesickertes Geheimnis enthält, können die Details einer Sicherheitsmeldung und die Token-Metadaten für eine Warnung einsehen. Unternehmensbesitzer können für diesen Zweck temporären Zugriff auf das Repository anfordern. Wenn der Zugriff gewährt wird, benachrichtigt GitHub den Besitzer des Repositorys, das das durchgesickerte Geheimnis enthält, meldet die Aktion in den Protokollen des Repository-Besitzers und des Unternehmens und aktiviert den Zugriff für 2 Stunden.