Betterleaks die neue Generation der geheimen Erkennung, die die Regeln des Spiels in der Entwicklung ändert

Im Ökosystem von Werkzeugen für Entwicklungssicherheit hat sich ein neues offenes Projekt entwickelt, das die Bar bei der Erkennung von gefilterten Geheimnissen anheben will: Betterleaks. Es ist ein Scanner in der Lage, Git-Ordner, Dateien und Repositories auf der Suche nach Anmeldeinformationen, Token, privaten Schlüsseln und anderen Geheimnissen zu analysieren, die zufällig in der Codehistorie enden. Die Idee ist einfach und dringend: Geheimnisse zu finden und zu mildern, bevor die Angreifer sie testen..

Betterleaks wird als direkte Evolution eines in der Gemeinde bereits bekannten Werkzeugs geboren: Gitleaks. Hinter dem Projekt steht Zach Rice, der die Entwicklung von Gitleaks leitete und nun diese neue Initiative mit Unterstützung von Aikido antreibt, einem belgischen Unternehmen, das sich auf die Gewährleistung des Entwicklungszyklus konzentrierte. Sie können den Code und die Dokumentation im offiziellen Repository von Betterleaks in GitHub überprüfen: https: / / github.com / betterleaks / betterleaks, und lesen Sie die Erklärung des Teams auf Aikidos Blog: https: / / www.aikido.dev / blog / betterleaks-gitleaks-successor.

Secret Scanner sind bereits ein Grundstück in der Toolbox jeder Organisation, die Code veröffentlicht oder mit freigegebenen Repositories arbeitet. Plattformen wie GitHub bieten geheime Scanmechanismen, und spezialisierte Unternehmen veröffentlichen ständige Berichte über unbemerkte Lecks von Anmeldeinformationen. Ein Geheimnis in einer öffentlichen Kommission kann ein direkter Schlüssel zum Angriff von Infrastruktur, Cloud-Services oder Drittanbieterkonten werden Aus diesem Grund ändert die Früherkennung das Risiko deutlich (siehe GitHubs Dokumentation zum geheimen Scannen: https: / / docs.github.com / en / code-security / secret-scanning)

Was macht Betterleaks unterscheidet sich von anderen Optionen? Das Projekt umfasst eine Reihe technischer Entscheidungen zur Verbesserung der Genauigkeit, Leistung und Usability. Eine der neuen Entwicklungen ist die Validierung von Regeln durch CEL (Common Expression Language), die es ermöglicht, ausdrucksstarkere und sichere Bedingungen zu definieren, um zu bestätigen, dass ein Zufall wirklich ein Geheimnis ist. CEL, angetrieben von Google, erleichtert die Erstellung logischer Ausdrücke über die Ergebnisse; weitere Informationen in der CEL-Spezifikation: https: / / github.com / google / cel-spec.

Im Bereich der Erkennung führt Betterleaks einen tokenisierungsbasierten Ansatz von Byte Pair Encoding (BPE) ein, anstatt sich nur auf Entropiemaßnahmen zu verlassen. Nach den vom Projekt selbst veröffentlichten Benchmarks erreicht diese Methode eine deutlich höhere Empfindlichkeit in Referenzsätzen, die zur Auswertung von Anmeldeinformationen dienen. BPE ist eine Textsegmentierungstechnik, die in modernen Sprachmodellen und Tokenizern weit verbreitet ist; wenn Sie es in der Tiefe verstehen möchten, ist die Dokumentation von Hugging Face Tokenizers ein guter Ausgangspunkt: https: / / huggingface.co / docs / takeizers / python / neueste / Komponenten / Takeizer _ Modelle # byte-pair-encoding.

Eine weitere wichtige Entscheidung des Teams war, zu schreiben Betterleaks völlig auf Go pure, Beseitigung von Abhängigkeiten, die in früheren Projekten komplizierte Verteilung und Installation, wie CGO oder Hyperscan. Damit soll die Ausführung in verschiedenen Umgebungen, von lokalen Maschinen bis zu Lichtbehältern, erleichtert werden. Für diejenigen, die sich vertiefen wollen, ist Hyperscan eine Buchhandlung von regelmäßigen Hochleistungsausdrücken entwickelt von Intel: https: / / github.com / intel / hyperscan.

In der Praxis verbessert Betterleaks auch Aspekte, die Tag für Tag Lärm erzeugen: Es behandelt automatisch Inhalte, die mehrfach codiert wurden (z.B. wiederholte URL-codierte Ketten), erweitert seine Regeln, um mehr Dienstleister und Parallelen zu unterstützen Git Repository Scannen, um großformatige Analyse zu beschleunigen. Dies sind Merkmale, die, kombiniert, versuchen, falsche Positive zu reduzieren und die Erkennung zu beschleunigen, wenn es große Mengen an Code.

Das Projekt ist nicht nur technisch: Die Straßenkarte umfasst Funktionen, die die Entwicklung der Sicherheit widerspiegeln. Die untersuchten Ideen umfassen die Unterstützung für andere Datenquellen als Git-Repositories und lokale Dateien, die Analyse durch Sprachmodelle unterstützt, um die Ergebnisse besser einzuordnen, verfeinerte Erkennungsfilter, automatische Speicher von Geheimnissen durch Lieferanten-APIs und Kartierung von Zugangsberechtigungen. All dies zielt darauf ab, Betterleaks in automatisierte Abhilfe zu integrieren, nicht nur Alarmflüsse.

Was die Regierung des Projekts betrifft, wird Betterleaks unter der MIT-Lizenz veröffentlicht und ist Mitarbeiter verschiedener Organisationen, die Transparenz und Rechenschaftspflicht in der Wartung kombinieren wollen. Die Provenienz des Teams - mit Beiträgen von Menschen, die im Bankwesen, in großen Open Source-Projekten und in der Cloud gearbeitet haben - hilft Entwicklungsprioritäten sowohl im Business-Umfeld als auch in der Entwickler-Community.

Aus der Perspektive derer, die Software entwickeln, kann die Einbeziehung dieser Art von Werkzeugen die Dynamik des geheimen Managements ändern. Jenseits eines punktuellen Scans, ist die praktische Empfehlung, den Scanner in den CI / CD-Kanal zu integrieren, mit Richtlinien zu kombinieren, die Geheimnisse in Vorkommnungen erkennen und klare Rotations- und Widerrufsverfahren bei Erkennung eines Lecks festlegen. Firmen, die sich auf die Erkennung von Geheimnissen spezialisiert haben, veröffentlichen nützliche Anleitungen und Metriken, um diese Risiken zu kontextualisieren, zum Beispiel den GitGuardian Blog: https: / / www.gitabaran.com / blog /.

Schließlich ist zu betonen, dass Werkzeuge nützlich sind, aber keine magische Lösung. Prävention und Reaktion erfordern komplementäre technische Prozesse, Bildung und Kontrollen: Vermeiden Sie Verpflichtungen mit Geheimnissen durch Haken, verwenden Sie geheime und Anmeldeinformationen Manager für Ausführungsumgebungen und haben Pläne, Schlüssel im Falle der Exposition zu drehen. Betterleaks bietet technische und praktische Verbesserungen, die das operationelle Risiko reduzieren können, aber sein realer Wert wird bei der Integration in nachhaltige Sicherheitspolitiken erreicht.

Wenn Sie erkunden möchten Betterleaks für sich, Überprüfung Benchmarks oder Beitrag, der Ausgangspunkt ist das Projekt-Repository: https: / / github.com / betterleaks / betterleaks, und aus dem Kontext über Ihre Beziehung zu Gitleaks und die Gründe für die Richtungsänderung, bietet der Eintrag im Blog von Aikido eine vollständige Lesung: https: / / www.aikido.dev / blog / betterleaks-gitleaks-successor.