كيفية اكتشاف ومعالجة مفاتيح API المكشوفة باستخدام ماسح الأسرار

يكتشف Secret Scanner مفاتيح API المحتملة، ورموز الوصول، وبيانات الاعتماد، وعناوين URL لخطافات الويب (webhook)، والقيم الحساسة الأخرى في أصول Apidog المدعومة. تُظهر النتائج مكان ظهور سر محتمل دون عرض قيمته الكاملة.

يشرح هذا البرنامج التعليمي كيفية مراجعة اكتشاف، والاستجابة لتسرب حقيقي، وتسجيل الحل، وإضافة نمط اكتشاف مخصص عندما يستخدم فريقك تنسيقًا سريًا داخليًا.

قبل أن تبدأ

يتوفر Secret Scanner في خطة Enterprise SaaS. وهو غير متاح حاليًا في Apidog On-Premises.

يعتمد الوصول على دورك:

استخدم قيمًا وهمية عند الاختبار. لا تلصق أبدًا بيانات اعتماد حقيقية في مورد لمجرد التأكد من أن الفحص يعمل.

الخطوة 1: مراجعة تقرير المنظمة

يمكن لمالكي المنظمة والمسؤولين استخدام تقرير المنظمة لتحديد الفرق التي لديها اكتشافات لم تُحل.

1. افتح تقرير Secret Scanner على مستوى المنظمة.
2. راجع أعداد الاكتشافات غير المحلولة والتسريبات المنشورة.
3. تحقق من آخر وقت تم اكتشافه وحالة الفحص.
4. افتح الفريق المتأثر أو اتصل بمالك الفريق أو مسؤول الفريق.

يساعد تقرير المنظمة المسؤولين على تحديد الفرق التي تتطلب متابعة.

التقرير هو عرض للفرز الأولي. يتم التحقيق والحل في صفحات Secret Scanner الخاصة بالفريق المتأثر.

الخطوة 2: فتح وتصفية اكتشافات الفريق

في الفريق، افتح Secret Scanner وحدد Secrets Detected.

استخدم المرشحات المتاحة لتضييق القائمة حسب:

• الحالة
• المشروع
• النمط
• نوع المورد
• الكلمة المفتاحية

يتم تجميع كل اكتشاف حسب نمط اكتشافه وبصمة آمنة. يمكن أن يكون للاكتشاف الواحد عدة حالات ظهور عندما تظهر نفس القيمة المكتشفة في أكثر من موقع واحد.

القيم مخفية. استخدم المشروع، ونوع المورد، وعدد مرات الظهور، وموقع المصدر للتحقيق في الاكتشاف.

ابدأ بالاكتشافات غير المحلولة التي تم وضع علامة عليها على أنها تسرب منشور، ثم راجع الاكتشافات التي تظهر في عدة موارد أو مشاريع.

الخطوة 3: فحص كل مرة ظهور

افتح اكتشافًا وراجع مرات ظهوره. لكل مرة ظهور، تأكد مما يلي:

1. المشروع والمورد الذي يحتوي على القيمة
2. نوع المورد وموقع المصدر
3. ما إذا كانت القيمة تظهر في وثائق منشورة
4. أول وآخر وقت تم اكتشافه
5. ما إذا كانت القيمة بيانات اعتماد حقيقية أم إيجابية خاطئة

لا تعتمد على المقتطف المخفي وحده عند تحديد ما إذا كانت القيمة حقيقية. تحقق من مورد المصدر، وعند الضرورة، اطلب من مالك المورد تحديد النظام المصدر دون نسخ بيانات الاعتماد إلى تذكرة أو رسالة محادثة.

الخطوة 4: الاستجابة لتسرب حقيقي

يقوم Secret Scanner بالإبلاغ عن التعرض المحتمل؛ ولا يغير بيانات الاعتماد. تعامل مع سر مؤكد في النظام الذي تم إصداره فيه.

استخدم هذا الترتيب:

1. إلغاء أو تدوير أو إبطال بيانات الاعتماد في الخدمة الخارجية.
2. مراجعة سجلات الاستخدام المتاحة للنشاط غير المتوقع.
3. إزالة القيمة من كل مرة ظهور للمصدر الموضحة في Apidog.
4. استبدال القيمة الخام بمتغير مناسب أو مرجع Vault Secret عندما لا يزال سير العمل يحتاج إلى بيانات الاعتماد.
5. حفظ كل مورد تم تغييره حتى يمكن تشغيل فحص غير متزامن مرة أخرى.

إذا ظهرت بيانات الاعتماد في وثائق منشورة، فتعامل معها على أنها معرضة خارجيًا حتى لو لم يكن هناك استخدام مشبوه مرئي.

إزالة قيمة من Apidog لا تبطل النسخ التي قد تكون موجودة بالفعل في مكان آخر. يعتبر التدوير أو الإلغاء هو الإجراء الأساسي للاحتواء في حالة حدوث تسرب حقيقي.

الخطوة 5: تسجيل الحل

بعد اكتمال الاستجابة، حدد سبب حل الاكتشاف.

وضع علامة على اكتشاف على أنه تم حله يغير حالته فقط في Apidog. إنه لا يلغي أو يدور أو يبطل أو يزيل أو يستبدل القيمة الأساسية.

إذا أصبح هناك حاجة لإجراءات أخرى، أعد فتح الاكتشاف.

الخطوة 6: التحقق من التنظيف

يعمل Secret Scanner بشكل غير متزامن بدلاً من الوقت الفعلي. يتم تشغيل عمليات الفحص عند إضافة مورد مدعوم أو عند تحديد حفظ بعد تغيير مورد مدعوم.

بعد المعالجة:

1. تأكيد تغيير جميع مرات ظهور المصدر المعروفة
2. حفظ الموارد المتأثرة
3. السماح بوقت للفحص غير المتزامن
4. مراجعة الاكتشاف وآخر وقت تم اكتشافه
5. تأكيد بشكل منفصل أن بيانات الاعتماد القديمة لم تعد تعمل في الخدمة المصدرة

حالة الماسح الضوئي ليست اختبارًا لصلاحية بيانات الاعتماد. تحقق من الإلغاء في الخدمة الخارجية.

الخطوة 7: إضافة نمط اكتشاف مخصص

يمكن لمالكي الفريق ومسؤولي الفريق إنشاء أنماط مخصصة لتنسيقات الأسرار الخاصة بالمنظمة.

1. افتح Secret Scanner > Patterns.
2. حدد خيار إنشاء نمط مخصص.
3. أدخل اسمًا واضحًا.
4. أضف التعبير العادي وأي كلمات مفتاحية مفيدة.
5. اختبر بقيمة وهمية.
6. قم بتمكين النمط وحفظه.

الحدود الحالية هي:

• حتى 5 أنماط مخصصة لكل فريق؛
• اسم النمط حتى 128 حرفًا؛
• تعبير عادي يصل إلى 256 حرفًا في واجهة المستخدم؛
• حتى 10 كلمات مفتاحية؛
• كل كلمة مفتاحية تصل إلى 64 حرفًا.

الأنماط المدمجة للقراءة فقط. لا يتم عرض تعبيراتها العادية الداخلية ولا يمكن تحريرها أو حذفها أو تمكينها أو تعطيلها.

الخطوة 8: مراجعة تحليلات الفريق

يمكن لمالكي الفريق ومسؤولي الفريق فتح التحليلات لمراجعة مكان تركز الاكتشافات.

استخدم التحليلات لتحديد المشاريع والأنماط وأنواع الأصول التي تحتاج إلى مراجعة إضافية.

يمكن أن تساعد التحليلات في تحديد أولويات العمل، ولكن كل اكتشاف لا يزال يتطلب تحقيقًا على مستوى المصدر.

أنواع الأصول المدعومة

يقوم Secret Scanner حاليًا بفحص الأصول المدعومة بما في ذلك:

• واجهات برمجة التطبيقات (APIs) وطلبات API
• حالات API
• وحدات المشروع ومتغيرات وحدات المشروع
• أمثلة الاستجابة
• مستندات Markdown ومخططات البيانات
• المتغيرات البيئية والعامة ومتغيرات الفريق
• البرامج النصية الشائعة والمعلمات الشائعة

تعتمد تفاصيل المصدر المتاحة للاكتشاف على نوع المورد وأذونات العارض.

استكشاف الأخطاء وإصلاحها

قيود هامة

لا يمنع Secret Scanner المستخدمين من إدخال الأسرار، أو حظر نشر الوثائق، أو فحص المستودعات الخارجية، أو ضمان اكتشاف كل تنسيق سري. كما أنه لا يزيل قيم المصدر تلقائيًا أو يستبدلها بمتغيرات أو مراجع Vault.

استخدمه كجزء واحد من عملية إدارة بيانات الاعتماد التي تتضمن أيضًا إصدار الامتياز الأقل، والتخزين الآمن، والتدوير، والإلغاء، ومراقبة الاستخدام.

برامج تعليمية ذات صلة حول حوكمة API:

تغطي هذه البرامج التعليمية ضوابط تكميلية لحوكمة مساحة عمل API للمؤسسة:

• إطار عمل حوكمة API — يربط الملكية، والضوابط، والأدلة، وقرارات دورة الحياة.
• ربط مجموعات SAML مع Microsoft Entra ID — تعيين الوصول إلى الفريق من مجموعات موفر الهوية.
• Secret Scanner — مراجعة بيانات الاعتماد المحتملة المكشوفة في أصول Apidog المدعومة.
• سجلات التدقيق — التحقيق وتصدير النشاط الإداري للمنظمة.
• تزويد SCIM — إدارة مستخدمي المنظمة خلال دورة حياة الهوية.
• سياسات المؤسسة — تهيئة ضوابط بيانات الاعتماد، والعضوية، وجلسة الدخول الموحد (SSO)، والدعوات.
• فرق API ذاتية الخدمة المحكومة — السماح بفرق يتم إنشاؤها بواسطة الأعضاء مع الاحتفاظ بالإشراف على الملكية.
• تكامل GitHub Enterprise Cloud — ربط مستودعات GHE.com المدعومة لسير عمل OpenAPI.

الوثائق الرسمية ذات الصلة:

• Secret Scanner
• سياسات المؤسسة
• Vault Secret في Apidog
• استخدام المتغيرات