Secret Scanner erkennt mögliche API-Schlüssel, Zugriffstoken, Anmeldeinformationen, Webhook-URLs und andere vertrauliche Werte in unterstützten Apidog-Assets. Die Ergebnisse zeigen, wo ein mögliches Geheimnis auftaucht, ohne dessen vollständigen Wert anzuzeigen.
Dieses Tutorial erklärt, wie Sie einen Fund überprüfen, auf eine reale Offenlegung reagieren, die Lösung protokollieren und ein benutzerdefiniertes Erkennungsmuster hinzufügen, wenn Ihr Team ein internes Geheimnisformat verwendet.
Bevor Sie beginnen
Secret Scanner ist im Enterprise SaaS-Plan verfügbar. Er ist derzeit nicht in Apidog On-Premises verfügbar.
Der Zugriff hängt von Ihrer Rolle ab:
| Rolle | Verfügbare Aktionen |
|---|---|
| Organisationsinhaber oder Administrator | Organisationsweite Berichte über Teams hinweg anzeigen |
| Teaminhaber oder Administrator | Team-Ergebnisse überprüfen, Ergebnisse auflösen oder wiedereröffnen, benutzerdefinierte Muster verwalten und Analysen anzeigen |
| Teammitglied oder Gast | Ergebnisse nur für Projekte anzeigen, auf die sie Zugriff haben |
Verwenden Sie bei Tests fiktive Werte. Fügen Sie niemals echte Anmeldeinformationen in eine Ressource ein, nur um zu bestätigen, dass der Scan funktioniert.
Schritt 1: Den Organisationsbericht überprüfen
Organisationsinhaber und Administratoren können den Organisationsbericht verwenden, um Teams mit ungelösten Ergebnissen zu identifizieren.
- Öffnen Sie den organisationsweiten Secret Scanner-Bericht.
- Überprüfen Sie die Anzahl der ungelösten Ergebnisse und veröffentlichten Lecks.
- Überprüfen Sie die zuletzt erkannte Zeit und den Scan-Status.
- Öffnen Sie das betroffene Team oder kontaktieren Sie dessen Teaminhaber oder Team-Administrator.
Der Organisationsbericht hilft Administratoren zu identifizieren, welche Teams Nachfassaktionen benötigen.
Der Bericht ist eine Triage-Ansicht. Untersuchung und Lösung erfolgen auf den Secret Scanner-Seiten des betroffenen Teams.
Schritt 2: Die Ergebnisse des Teams öffnen und filtern
Öffnen Sie im Team Secret Scanner und wählen Sie Erkannte Geheimnisse.
Verwenden Sie die verfügbaren Filter, um die Liste nach folgenden Kriterien einzugrenzen:
- Status
- Projekt
- Muster
- Ressourcentyp
- Schlüsselwort
Jeder Fund ist nach seinem Erkennungsmuster und einem sicheren Fingerabdruck gruppiert. Ein Fund kann mehrere Vorkommen haben, wenn derselbe erkannte Wert an mehreren Stellen auftaucht.
Werte sind maskiert. Verwenden Sie das Projekt, den Ressourcentyp, die Anzahl der Vorkommen und den Quellort, um den Fund zu untersuchen.
Beginnen Sie mit ungelösten Befunden, die als veröffentlichte Offenlegung gekennzeichnet sind, und überprüfen Sie dann Befunde, die in mehreren Ressourcen oder Projekten erscheinen.
Schritt 3: Jedes Vorkommen prüfen
Öffnen Sie einen Fund und überprüfen Sie seine Vorkommen. Bestätigen Sie für jedes Vorkommen:
- das Projekt und die Ressource, die den Wert enthalten
- den Ressourcentyp und den Quellort
- ob der Wert in der veröffentlichten Dokumentation erscheint
- die erste und letzte Erkennungszeit
- ob der Wert eine echte Anmeldeinformation oder ein Fehlalarm ist
Verlassen Sie sich nicht allein auf den maskierten Ausschnitt, wenn Sie entscheiden, ob ein Wert echt ist. Überprüfen Sie die Quellressource und fragen Sie gegebenenfalls den Ressourceninhaber, das ausgebende System zu identifizieren, ohne die Anmeldeinformationen in ein Ticket oder eine Chat-Nachricht zu kopieren.
Schritt 4: Auf eine reale Offenlegung reagieren
Secret Scanner meldet eine mögliche Offenlegung; er ändert die Anmeldeinformationen nicht. Behandeln Sie ein bestätigtes Geheimnis in dem System, in dem es ausgestellt wurde.
Verwenden Sie diese Reihenfolge:
- Widerrufen, rotieren oder entwerten Sie die Anmeldeinformationen im externen Dienst.
- Überprüfen Sie die verfügbaren Nutzungsprotokolle auf unerwartete Aktivitäten.
- Entfernen Sie den Wert aus jedem Quellvorkommen, das in Apidog angezeigt wird.
- Ersetzen Sie den Rohwert durch eine entsprechende Variable oder einen Vault Secret-Verweis, wenn der Workflow die Anmeldeinformationen noch benötigt.
- Speichern Sie jede geänderte Ressource, damit ein asynchroner Scan erneut ausgeführt werden kann.
Wenn die Anmeldeinformationen in veröffentlichten Dokumentationen erscheinen, behandeln Sie diese als extern offengelegt, auch wenn keine verdächtige Nutzung sichtbar ist.
Das Entfernen eines Wertes aus Apidog entwertet keine Kopien, die möglicherweise bereits an anderer Stelle existieren. Rotation oder Widerruf sind die primären Eindämmungsmaßnahmen für ein echtes Leck.
Schritt 5: Die Lösung protokollieren
Nach Abschluss der Reaktion legen Sie den Auflösungsgrund des Funds fest.
| Auflösungsgrund | Verwenden Sie es, wenn |
|---|---|
| Widerrufen | Der Wert war ein echtes Geheimnis und wurde außerhalb von Apidog widerrufen, rotiert oder entwertet |
| Fehlalarm | Der erkannte Wert ist kein Geheimnis |
| Wird nicht behoben | Der Wert ist ein echtes Geheimnis, aber das Team hat das Risiko akzeptiert und wird es nicht ändern |
Das Markieren eines Funds als gelöst ändert nur seinen Status in Apidog. Es widerruft, rotiert, entwertet, entfernt oder ersetzt den zugrunde liegenden Wert nicht.
Wenn weitere Maßnahmen erforderlich sind, eröffnen Sie den Fund erneut.
Schritt 6: Die Bereinigung überprüfen
Secret Scanner läuft asynchron und nicht in Echtzeit. Scans werden ausgelöst, wenn eine unterstützte Ressource hinzugefügt wird oder wenn nach dem Ändern einer unterstützten Ressource Speichern ausgewählt wird.
Nach der Behebung:
- bestätigen Sie, dass alle bekannten Quellvorkommen geändert wurden
- speichern Sie die betroffenen Ressourcen
- geben Sie Zeit für den asynchronen Scan
- überprüfen Sie den Fund und seine zuletzt erkannte Zeit
- bestätigen Sie separat, dass die alten Anmeldeinformationen im ausstellenden Dienst nicht mehr funktionieren
Der Status des Scanners ist kein Test der Gültigkeit von Anmeldeinformationen. Überprüfen Sie den Widerruf im externen Dienst.
Schritt 7: Ein benutzerdefiniertes Erkennungsmuster hinzufügen
Teaminhaber und Team-Administratoren können benutzerdefinierte Muster für organisationsspezifische Geheimnisformate erstellen.
- Öffnen Sie Secret Scanner > Muster.
- Wählen Sie die Option zum Erstellen eines benutzerdefinierten Musters.
- Geben Sie einen klaren Namen ein.
- Fügen Sie den regulären Ausdruck und alle nützlichen Schlüsselwörter hinzu.
- Testen Sie mit einem fiktiven Wert.
- Aktivieren Sie das Muster und speichern Sie es.
Die aktuellen Grenzwerte sind:
- bis zu 5 benutzerdefinierte Muster pro Team;
- Mustername bis zu 128 Zeichen;
- regulärer Ausdruck bis zu 256 Zeichen in der Benutzeroberfläche;
- bis zu 10 Schlüsselwörter;
- jedes Schlüsselwort bis zu 64 Zeichen.
Eingebaute Muster sind schreibgeschützt. Ihre internen regulären Ausdrücke werden nicht angezeigt und können nicht bearbeitet, gelöscht, aktiviert oder deaktiviert werden.
Schritt 8: Team-Analysen überprüfen
Teaminhaber und Team-Administratoren können Analysen öffnen, um zu überprüfen, wo sich die Ergebnisse konzentrieren.
Verwenden Sie Analysen, um Projekte, Muster und Asset-Typen zu identifizieren, die einer zusätzlichen Überprüfung bedürfen.
Analysen können helfen, die Arbeit zu priorisieren, aber jeder Fund erfordert immer noch eine Untersuchung auf Quellenebene.
Unterstützte Asset-Typen
Secret Scanner scannt derzeit unterstützte Assets, einschließlich:
- APIs und API-Anfragen
- API-Fälle
- Projektmodule und Projektmodulvariablen
- Antwortbeispiele
- Markdown-Dokumente und Datenschemata
- Umgebungs-, globale und Teamvariablen
- allgemeine Skripte und allgemeine Parameter
Die für ein Vorkommen verfügbaren Quellendetails hängen von seinem Ressourcentyp und den Berechtigungen des Betrachters ab.
Fehlerbehebung
| Problem | Was zu prüfen ist |
|---|---|
| Eine kürzliche Änderung hat noch kein Ergebnis | Der Scan ist asynchron. Bestätigen Sie, dass die Ressource gespeichert wurde, und überprüfen Sie sie später erneut. |
| Ein Teammitglied kann einen Fund nicht sehen | Bestätigen Sie, dass das Mitglied Zugriff auf das zugehörige Projekt hat. |
| Ein Benutzer kann Muster oder Analysen nicht verwalten | Die Verwaltung von Mustern und Analysen erfordert Team-Inhaber- oder Team-Administratorzugriff. |
| Ein gelöster Fund enthält immer noch ein funktionierendes Geheimnis | Der Auflösungsstatus ändert die Anmeldeinformationen nicht. Widerrufen oder rotieren Sie sie im ausstellenden Dienst. |
| Ein externes Repository wird nicht gescannt | Secret Scanner scannt keine externen GitHub- oder GitLab-Repositories. Verwenden Sie auch die Scan-Steuerelemente des Repository-Anbieters. |
Wichtige Einschränkungen
Secret Scanner hindert Benutzer nicht daran, Geheimnisse einzugeben, blockiert nicht die Veröffentlichung von Dokumentationen, scannt keine externen Repositories und garantiert nicht die Erkennung jedes Geheimnisformats. Es entfernt auch nicht automatisch Quellwerte oder ersetzt diese durch Variablen oder Vault-Verweise.
Verwenden Sie es als einen Teil eines Anmeldeinformations-Verwaltungsprozesses, der auch die Ausgabe mit geringsten Rechten, sichere Speicherung, Rotation, Widerruf und Nutzungsüberwachung umfasst.
Verwandte API-Governance-Tutorials:
Diese Tutorials behandeln ergänzende Kontrollen zur Verwaltung eines Unternehmens-API-Arbeitsbereichs:
- API Governance Framework – verbindet Besitz, Kontrollen, Nachweise und Lebenszyklusentscheidungen.
- SAML-Gruppenzuordnung mit Microsoft Entra ID – weist Teamzugriff von Identitätsanbietergruppen zu.
- Secret Scanner – überprüft mögliche offengelegte Anmeldeinformationen in unterstützten Apidog-Assets.
- Audit-Logs – Untersuchung und Export administrativer Organisationsaktivitäten.
- SCIM-Bereitstellung – Verwaltung von Organisationsbenutzern über den Identitätslebenszyklus.
- Unternehmensrichtlinien – Konfiguration von Anmeldeinformations-, Mitgliedschafts-, SSO-Sitzungs- und Einladungskontrollen.
- Selbstbedienungs-API-Teams – ermöglicht von Mitgliedern erstellte Teams unter Beibehaltung der Eigentümeraufsicht.
- GitHub Enterprise Cloud-Integration – verbindet unterstützte GHE.com-Repositories für OpenAPI-Workflows.
Verwandte offizielle Dokumentation: