Secret Scanner ile Sızdırılmış API Anahtarlarını Tespit ve Giderme

Gizli Tarayıcı, desteklenen Apidog varlıklarında olası API anahtarlarını, erişim belirteçlerini, kimlik bilgilerini, webhook URL'lerini ve diğer hassas değerleri algılar. Bulgular, olası bir gizli bilginin tam değeri gösterilmeden nerede göründüğünü belirtir.

Bu eğitim, bir bulguyu nasıl inceleyeceğinizi, gerçek bir ifşaata nasıl yanıt vereceğinizi, çözümünü nasıl kaydedeceğinizi ve ekibiniz dahili bir gizli format kullandığında özel bir algılama kalıbı nasıl ekleyeceğinizi açıklar.

Başlamadan önce

Gizli Tarayıcı, Enterprise SaaS planında mevcuttur. Şu anda Apidog On-Premises'te mevcut değildir.

Erişim rolünüze bağlıdır:

Test yaparken kurgusal değerler kullanın. Taramanın çalıştığını onaylamak için asla gerçek bir kimlik bilgisini bir kaynağa yapıştırmayın.

Adım 1: Kuruluş raporunu inceleyin

Kuruluş Sahipleri ve Yöneticileri, çözülmemiş bulguları olan ekipleri belirlemek için kuruluş raporunu kullanabilir.

1. Kuruluş düzeyindeki Gizli Tarayıcı raporunu açın.
2. Çözülmemiş bulgular ve yayınlanmış sızıntılar için sayıları inceleyin.
3. Son algılama zamanını ve tarama durumunu kontrol edin.
4. Etkilenen ekibi açın veya Ekip Sahibi ya da Ekip Yöneticisi ile iletişime geçin.

Kuruluş raporu, yöneticilerin hangi ekiplerin takip gerektirdiğini belirlemesine yardımcı olur.

Rapor bir ön inceleme görünümüdür. Soruşturma ve çözüm, etkilenen ekibin Gizli Tarayıcı sayfalarında gerçekleşir.

Adım 2: Ekibin bulgularını açın ve filtreleyin

Ekipte, Gizli Tarayıcı'yı açın ve Algılanan Gizli Bilgiler'i seçin.

Listeyi daraltmak için mevcut filtreleri kullanın:

• durum
• proje
• kalıp
• kaynak türü
• anahtar kelime

Her bulgu, algılama kalıbına ve güvenli bir parmak izine göre gruplandırılır. Aynı algılanan değer birden fazla yerde göründüğünde, bir bulgunun birden fazla oluşumu olabilir.

Değerler maskelenmiştir. Bulguyu incelemek için proje, kaynak türü, oluşum sayısı ve kaynak konumunu kullanın.

Yayınlanmış ifşa olarak işaretlenmiş çözülmemiş bulgularla başlayın, ardından birkaç kaynakta veya projede görünen bulguları inceleyin.

Adım 3: Her oluşumu inceleyin

Bir bulguyu açın ve oluşumlarını inceleyin. Her oluşum için şunları onaylayın:

1. değeri içeren proje ve kaynak
2. kaynak türü ve kaynak konumu
3. değerin yayınlanmış belgelerde görünüp görünmediği
4. ilk ve son algılama zamanları
5. değerin gerçek bir kimlik bilgisi mi yoksa yanlış pozitif mi olduğu

Bir değerin gerçek olup olmadığına karar verirken yalnızca maskelenmiş parçacığa güvenmeyin. Kaynak kaynağını kontrol edin ve gerektiğinde kaynak sahibinden, kimlik bilgisini bir bilete veya sohbet mesajına kopyalamadan, veren sistemi tanımlamasını isteyin.

Adım 4: Gerçek bir ifşaata yanıt verin

Gizli Tarayıcı olası ifşaatı bildirir; kimlik bilgisini değiştirmez. Onaylanmış bir gizli bilgiyi verildiği sistemde işleyin.

Bu sırayı kullanın:

1. Harici hizmette kimlik bilgisini iptal edin, döndürün veya geçersiz kılın.
2. Beklenmeyen etkinlikler için mevcut kullanım günlüklerini inceleyin.
3. Apidog'da gösterilen her kaynak oluşumundan değeri kaldırın.
4. İş akışı hala kimlik bilgisini gerektiriyorsa, ham değeri uygun bir değişken veya Vault Secret referansı ile değiştirin.
5. Asenkron bir taramanın tekrar çalışabilmesi için her değişen kaynağı kaydedin.

Kimlik bilgisi yayınlanmış belgelerde görünüyorsa, şüpheli kullanım görünmese bile harici olarak ifşa edilmiş olarak kabul edin.

Bir değeri Apidog'dan kaldırmak, başka yerlerde zaten mevcut olabilecek kopyaları geçersiz kılmaz. Döndürme veya iptal, gerçek bir sızıntı için birincil önleyici eylemdir.

Adım 5: Çözümü kaydedin

Yanıt tamamlandıktan sonra, bulgunun çözüm nedenini ayarlayın.

Bir bulguyu çözüldü olarak işaretlemek, yalnızca Apidog'daki durumunu değiştirir. Temel değeri iptal etmez, döndürmez, geçersiz kılmaz, kaldırmaz veya değiştirmez.

Daha fazla eylem gerekli olursa, bulguyu yeniden açın.

Adım 6: Temizliği doğrulayın

Gizli Tarayıcı, gerçek zamanlı değil, asenkron olarak çalışır. Taramalar, desteklenen bir kaynak eklendiğinde veya desteklenen bir kaynak değiştirildikten sonra Kaydet seçildiğinde tetiklenir.

Düzeltmeden sonra:

1. bilinen tüm kaynak oluşumlarının değiştirildiğini onaylayın
2. etkilenen kaynakları kaydedin
3. asenkron tarama için zaman tanıyın
4. bulguyu ve son algılama zamanını inceleyin
5. eski kimlik bilgisinin veren hizmette artık çalışmadığını ayrı olarak onaylayın

Tarayıcının durumu, bir kimlik bilgisi geçerlilik testi değildir. Harici hizmette iptali doğrulayın.

Adım 7: Özel bir algılama kalıbı ekleyin

Ekip Sahipleri ve Ekip Yöneticileri, kuruluşa özgü gizli formatlar için özel kalıplar oluşturabilir.

1. Gizli Tarayıcı > Kalıplar'ı açın.
2. Özel bir kalıp oluşturma seçeneğini seçin.
3. Net bir ad girin.
4. Düzenli ifadeyi ve herhangi bir yararlı anahtar kelimeyi ekleyin.
5. Kurgusal bir değerle test edin.
6. Kalıbı etkinleştirin ve kaydedin.

Mevcut sınırlar şunlardır:

• ekip başına en fazla 5 özel kalıp;
• 128 karaktere kadar kalıp adı;
• UI'de 256 karaktere kadar düzenli ifade;
• en fazla 10 anahtar kelime;
• her anahtar kelime 64 karaktere kadar.

Yerleşik kalıplar salt okunurdur. Dahili düzenli ifadeleri görüntülenmez ve düzenlenemez, silinemez, etkinleştirilemez veya devre dışı bırakılamaz.

Adım 8: Ekip analizlerini inceleyin

Ekip Sahipleri ve Ekip Yöneticileri, bulguların nerede yoğunlaştığını incelemek için Analizler'i açabilir.

Ek inceleme gerektiren projeleri, kalıpları ve varlık türlerini belirlemek için analizleri kullanın.

Analizler, işin önceliklendirilmesine yardımcı olabilir, ancak her bulgu yine de kaynak düzeyinde inceleme gerektirir.

Desteklenen varlık türleri

Gizli Tarayıcı şu anda desteklenen varlıkları taramaktadır:

• API'ler ve API istekleri
• API durumları
• proje modülleri ve proje modül değişkenleri
• yanıt örnekleri
• Markdown belgeleri ve veri şemaları
• ortam, genel ve ekip değişkenleri
• ortak betikler ve ortak parametreler

Bir oluşum için mevcut olan kaynak detayı, kaynak türüne ve görüntüleyicinin izinlerine bağlıdır.

Sorun giderme

Önemli sınırlamalar

Gizli Tarayıcı, kullanıcıların gizli bilgiler girmesini engellemez, belge yayınlamayı engellemez, harici depoları taramaz veya her gizli formatın algılanmasını garanti etmez. Ayrıca kaynak değerlerini otomatik olarak kaldırmaz veya değişkenlerle ya da Vault referanslarıyla değiştirmez.

En az ayrıcalıkla verme, güvenli depolama, döndürme, iptal ve kullanım izleme gibi bir kimlik bilgisi yönetimi sürecinin bir parçası olarak kullanın.

İlgili API yönetimi eğitimleri:

Bu eğitimler, bir kurumsal API çalışma alanını yönetmek için tamamlayıcı kontrolleri kapsar:

• API Yönetişim Çerçevesi — sahipliği, kontrolleri, kanıtı ve yaşam döngüsü kararlarını birbirine bağlar.
• Microsoft Entra ID ile SAML Grup Eşleştirme — kimlik sağlayıcı gruplarından ekip erişimi atar.
• Gizli Tarayıcı — desteklenen Apidog varlıklarında olası ifşa edilmiş kimlik bilgilerini inceleyin.
• Denetim Günlükleri — idari kuruluş etkinliğini inceleyin ve dışa aktarın.
• SCIM Sağlama — kimlik yaşam döngüsü boyunca kuruluş kullanıcılarını yönetin.
• Kurumsal Politikalar — kimlik bilgisi, üyelik, SSO oturumu ve davet kontrollerini yapılandırın.
• Kendi Kendine Hizmet Veren API Ekipleri — sahiplik denetimini sürdürürken üyeler tarafından oluşturulan ekiplere izin verin.
• GitHub Enterprise Cloud Entegrasyonu — OpenAPI iş akışları için desteklenen GHE.com depolarını bağlar.

İlgili resmi belgeler:

• Gizli Tarayıcı
• Kurumsal Politikalar
• Apidog'da Vault Secret
• Değişkenleri Kullanma