GitHub הרחיבה את Secret Scanning אל מעבר למאגרים שבבעלות הארגון: Public Monitoring מזהה סודות ארגוניים שנחשפו בכל מקום ציבורי ב-GitHub ומייחס אותם לארגון בזמן אמת. היכולת זמינה כעת באופן כללי ללקוחות Enterprise Cloud עם GitHub Secret Protection או Advanced Security, ללא עלות נוספת.
איזה פער GitHub מנסה לסגור?
Secret Scanning רגיל מגן על Repositories שהארגון מנהל. בפועל, סודות דולפים גם מחוץ לגבול הזה: עובד יכול לבצע Commit ל-Fork אישי, להשתתף בפרויקט קוד פתוח, להדביק Token ב-Issue או Pull Request, או לפרסם אותו ב-Gist. לעיתים חשבון המשתמש כלל אינו מנוהל על ידי צוות האבטחה.
Public Monitoring סורק את המרחב הציבורי של github.com ומתריע כאשר הוא מזהה Secret שניתן לשייך לארגון. GitHub מציינת שהזיהוי מתרחש בזמן אמת ולא באמצעות Crawl לילי.
כיצד מתבצע השיוך לארגון?
GitHub משתמשת בשני מנגנונים עיקריים:
- Enterprise membership: חשבון ה-Committer הוא חבר בארגון או ב-Enterprise.
- Verified domain: כתובת הדואר שאיתה בוצע ה-Commit שייכת לדומיין שהארגון אימת, גם אם החשבון האישי אינו מקושר ל-Enterprise והכתובת אינה מוצגת לציבור.
כל Finding כולל את סוג הסוד, המיקום הציבורי, המשתמש או ה-Committer ושיטת השיוך. כך צוות האבטחה יכול לבטל את הסוד ולחקור את מקור החשיפה במהירות.
מה נסרק ומה לא?
היכולת בוחנת תוכן שכבר פורסם בציבור, ובהם קוד Git ציבורי, תגובות ב-Pull Requests, Issues, Discussions ו-Gists. היא אינה סורקת Repositories פרטיים שאינם בבעלות הארגון. לסריקת מאגרים ציבוריים, פרטיים ופנימיים שבבעלות הארגון ממשיך לפעול Secret Scanning הרגיל.
ההבחנה חשובה מבחינת פרטיות: Public Monitoring אינו פותח תוכן פרטי אלא מחפש סודות שכבר נחשפו בפומבי ומנסה לשייך אותם לארגון.
איך מפעילים?
- מוודאים של-Enterprise יש GitHub Secret Protection או GitHub Advanced Security.
- מאמתים את דומייני הארגון ב-GitHub כדי לשפר Attribution לחשבונות אישיים המשתמשים בדואר ארגוני.
- Enterprise Owner או Enterprise Security Manager מפעילים Public Monitoring מתוך לשונית Security.
- מגדירים תהליך תגובה הכולל ביטול מיידי של הסוד, בדיקת שימוש, החלפת Credentials וחקירת המקור.
המלצות לתהליך תגובה
- להתייחס לחשיפה ציבורית כאל Credential Compromise עד שיוכח אחרת.
- לבטל או לסובב את הסוד לפני מחיקת הפוסט או הקובץ; מחיקה אינה מבטיחה שהוא לא הועתק.
- לבדוק Audit Logs ופעילות API מהזמן שבו הסוד נחשף.
- להשתמש ב-Webhooks או API כדי להעביר Findings ל-SIEM או למערכת ניהול אירועים.
- להפעיל Push Protection כדי לעצור חשיפות נוספות עוד לפני ה-Commit.
מקור: GitHub Changelog, 28 באוקטובר 2026.
צילום: Alexiou Konstadinos / Pexels. דף המקור. רישיון Pexels מתיר שימוש באתר, בסושיאל ובשיווק.
