#Security GitHub 社内の Secret Scanning 運用事例記事。15,000+ リポジトリで 20,000+ 件のアラートを 9 か月でゼロにするまでの段階的プロセスを公開している 初期アラートの 90%（18,000 件）はテストフィクスチャ由来のノイズ。5 リポジトリが全ノイズの大半を占めた 検出後の「ルーティング」が最大の課題。PAT などのクレデンシャル有効性確認・オーナーシップ特定・プレイブック整備の順で系統化した Push Protection を組織全体に強制適用（オプトアウト不可）することで再流入を防止 DevSecOps の実践例: 検出自動化に留まらず修復ワークフロー全体を自動化することが重要であると結論付けている 8 教訓: 生の件数を信用しない・組織横断で強制適用・クレデンシャル有効性確認を先行・メタデータ充実・永続的オーナーシップ基盤・検出後ワークフロー自動化・健全性メトリクス化・意思決定フレームワーク文書化 https://github.blog/security/application-security/how-github-used-secret-scanning-to-reach-inbox-zero/

#Security #Testing #Continuous Integration #Programming コード品質とセキュリティを継続的に検査するオープンソースの静的解析プラットフォーム 35以上のプログラミング言語に対応し、バグ、脆弱性、セキュリティホットスポット、コードスメルを検出する Quality Gatesと呼ぶカスタマイズ可能な品質基準でデプロイ可否を判断し、適応度関数のコード品質カテゴリに該当する SAST機能を持ち、DevSecOpsのシフトレフトセキュリティを実現する https://www.sonarsource.com/products/sonarqube/

#Security #Continuous Integration Gitleaks の開発元が手がける、シークレット（API キー・トークン・認証情報）を検出するスキャナー。GitHub/GitLab などの Git リポジトリ（Organization 単位も可）、S3、ローカルディレクトリなど複数のソースに対応する DevSecOps のシフトレフトとして CI に組み込み、コードや成果物へのシークレット混入を検出する https://github.com/betterleaks/betterleaks

Static Application Security Testing #Security #Testing ソースコード、バイトコード、バイナリを解析してセキュリティ脆弱性を検出するテスト手法 ホワイトボックステストとも呼ばれ、アプリケーションを実行せずにコードを分析する 特徴 DevSecOpsのシフトレフトを実現 #Continuous Integrationパイプラインに統合可能 SQLインジェクション、XSS、バッファオーバーフロー等を検出 https://owasp.org/www-project-devsecops-guideline/latest/02a-Static-Application-Security-Testing

Dynamic Application Security Testing #Security #Testing 稼働中のアプリケーションに対して外部から攻撃シミュレーションを行い、セキュリティ脆弱性を検出するテスト手法 ブラックボックステストとも呼ばれ、ソースコードを参照せず実行時の挙動を分析する DevSecOpsの継続的セキュリティテストを担い、認証、セッション管理、入力検証などランタイムの脆弱性を検出する 代表ツールはOWASP ZAP / Burp Suite。検出結果を SARIF 形式で出力するツールも多い https://owasp.org/www-project-devsecops-guideline/latest/02b-Dynamic-Application-Security-Testing

#Security #Cloud Native #Continuous Integration #Continuous Delivery Aqua Securityが開発するオープンソースの脆弱性・設定ミス・シークレットスキャナー。コンテナイメージ、Kubernetes、IaC、gitリポジトリを対象とする SASTツールの一種としてDevSecOpsのシフトレフトセキュリティを担い、CIパイプラインに統合できる DockerfileやTerraformの設定ミス検出、シークレット検出、SBOM生成にも対応する --format sarif で SARIF 出力に対応し GitHub Code Scanning に取り込める https://trivy.dev/ https://github.com/aquasecurity/trivy