Si es un ejecutivo de tecnología de la información (TI) como yo, con suerte ha pasado demasiadas noches sentado y pensando en los cientos/miles de repositorios de código actualizados y mantenidos por docenas de equipos internos y consultores externos y si alguno de esos los repositorios tienen secretos que comprometerán y eventualmente hundirán su negocio. En Mentat hicimos algo al respecto para que nuestros clientes y nosotros podamos dormir mejor por la noche. Hace aproximadamente 2 años escalamos gitleaks para iterar sobre todos los repositorios, identificar secretos basados en un archivo TOML de patrones secretos de expresiones regulares comunes, enviar los resultados de la canalización a Kafka y luego a Elasticsearch, y finalmente usamos Kibana para visualizar un desglose de posibles fugas del repositorio. por equipo y código base. Se veía así:
Los resultados iniciales de esta solución nos ayudaron a hacer lo siguiente:
– Limpie una buena cantidad de secretos en todos los repositorios en docenas de equipos que usan BFG
– Visualizar qué equipos tenían el mayor número de secretos y qué tipos de secretos. Esto, a su vez, nos permitió enseñar a los equipos cómo administrar adecuadamente los secretos.
También te puede interesar
Autoimagen, autoestima y diálogo interno– Introducir un proceso automatizado para evitar que los usuarios envíen secretos potenciales a las sucursales principales
– Aumente la seguridad mediante la iteración de nuestra solución de administración de secretos de Azure Key Vault y las canalizaciones de Azure para que sea más fácil y seguro para los desarrolladores y administradores administrar y usar secretos.
¡Todo esto fue genial! Sin embargo, estamos mejorando continuamente y encontramos muchos problemas potenciales al aprovechar una herramienta vinculada a patrones estáticos de expresiones regulares. Debido a esto, nos encontramos buscando repositorios de forma constante y manual en busca de nuevos tipos de datos secretos y semisecretos para crear nuevos patrones de expresiones regulares. Este fue un sumidero de tiempo masivo. ¿Entonces lo que hay que hacer? Bueno, decidimos crear Alpaca AI Security. Alpaca AI es una herramienta de inteligencia artificial que se adapta dinámicamente al panorama siempre cambiante de datos secretos y semisecretos dentro de su organización. Nota al margen, comenzamos con Git pero nos expandimos a todo tipo de documentos. Consulte más aquí. De todos modos, de vuelta al negocio. Alpaca AI combina el poder del procesamiento del lenguaje natural (NLP) y el aprendizaje automático para adaptarse dinámicamente a los entornos sin la necesidad de patrones estáticos de expresiones regulares. Una vez que entrenamos el modelo en millones de confirmaciones de git, lo pusimos a funcionar agrupando todos los repositorios que administramos para ejecutar docenas de escaneos simultáneos en cientos de repositorios todas las noches. El resultado de la canalización de muestra se ve así:
Cada ejecución de tubería tiene un lote de repositorios para escanear. Cada escaneo se ejecuta en cientos de repositorios, miles de sucursales y millones de confirmaciones. Como se vio anteriormente, esta tubería escaneó 217 mil confirmaciones en aproximadamente 5 minutos y encontró 65 posibles filtraciones secretas. Esto es realmente impresionante y es un gran ahorro de tiempo. La otra cosa realmente buena de Alpaca AI es que simplemente cambiamos gitleaks por Alpaca AI para que todos los datos continúen fluyendo desde la canalización hasta, finalmente, Elasticsearch, donde los usuarios pueden ver los valores calculados de los datos semisecretos. Algunos de los beneficios son:
También te puede interesar
– No es necesario buscar en repositorios posibles secretos para crear nuevos patrones de expresiones regulares para buscar. Esto nos ahorra cientos de horas de trabajo al año.
– Escaneos de repositorios más rápidos
– Modelo dinámico que aprende y mejora con el tiempo
– Capacidad para encontrar nuevos tipos de secretos y datos semisecretos
También te puede interesar
– Capacidad para escanear diferentes tipos de documentos fuera del código
– Integrado en nuestra plataforma de automatización, pero lo suficientemente flexible como para implementarlo rápidamente en otros sistemas en días, no meses
– Se ejecuta automáticamente en PR/MR para que podamos proteger las sucursales principales
– Lenguaje de codificación/scripting independiente, por lo que se puede escanear cualquier base de código
También te puede interesar
Si está interesado en obtener más información sobre nuestros servicios de automatización y/o Alpaca AI Security, comuníquese con nuestro equipo para obtener más información y obtener una demostración.
