シークレット自動トリアージ

Secrets AutoTriage は、 Aikido Agent シークレットスキャンのノイズを減らし、実際に危険な露出済みシークレットに集中できるようにします。まず誤検知を除外し、次に（検出結果が実在する場合は）露出したシークレットのリスクの高さに基づいて順位付けします。

Secrets AutoTriage は、Aikido がコード内で検出したシークレットに対して動作します。何をスキャンするかは変えず、検出結果のフィルタリングと優先順位付けだけを行います。この機能は Pro および Advanced プランでのみ利用できます.

Secrets AutoTriage の有効化

Secrets AutoTriage は デフォルトでは有効になっていません。ワークスペース設定から有効にできるのはワークスペース管理者のみです。

次へ移動: 設定 → トリアージ.

次の下で シークレットのノイズ削減、 Secrets AI トリアージをオンに切り替えてください。有効にすると、Aikido は次回のスキャンでシークレット検出結果に AutoTriage を適用します。

Secrets AutoTriage 自体はスキャナーではありません。シークレットスキャンの後段に位置し、照合結果が 実在する露出済みシークレット であるかどうか、そしてそうである場合は どれだけリスクが高いか を判断します。

大半の検出結果について、Aikido は Aikido 定義のルールと妥当性チェックに基づいてトリアージを行います。より曖昧なケースでは、Aikido は周囲のコードコンテキストを使って、照合結果が本物のシークレットなのか、それともプレースホルダー、例、あるいはテスト値なのかを判断します。

シークレットがフィードに届く前に、Aikido はシークレットのように見えるが実際にはそうではない一致結果を除外します。これには次が含まれる場合があります：

これらの手順だけで、シークレットアラートのかなりの部分が抑制されます。

もっとも、本物らしく見えるシークレットの中には、パターンだけでは実在のものと区別できないものがあります。判断が難しい場合、Aikido は本物の露出を隠してしまうより、結果を残して確認できるようにします。

照合結果が本物のシークレットのように見える場合、Aikido の Live Secret Detection が、そのシークレットがまだ有効かどうかを確認し、付与されるアクセス権の範囲を調べます。AutoTriage はこれらのシグナルを使って優先度を調整します：

Secrets AutoTriage は 文脈依存度が高い ように設計されています。実際には、次のような要素を考慮します：

すべての AutoTriage の判定変更は記録されるため、Aikido が何を分析し、何を行ったかを確認できます。In トリアージ設定で、管理ドロップダウンを開き、 履歴を表示 をクリックして Secrets トリアージ履歴 ページ。

履歴テーブルでは、関連する評価がファイル、リポジトリ、時刻ごとにグループ化されます。各行には日付、ファイルパス、リポジトリ、分析されたシークレット数、実行されたトリアージ操作の要約が表示されます。検索とリポジトリのフィルターを使って一覧を絞り込めます。

表示される操作：

引き上げ：シークレットがより悪用しやすい、またはより高リスクに見えるため、優先度が上がりました
引き下げ：シークレットがあまりリスクが高くないように見えるため、優先度が下がりました（たとえば、プレースホルダー、テスト値、または影響の小さいスコープ）
自動無視：誤検知としてフィードから削除された検出結果
中立：優先度を変更せずに評価が実行されました

シークレットが本当の露出であることが確認されたら、できるだけ早くローテーションしてください。シークレットは git 履歴に残るため、コードから削除するだけでは不十分です。露出したシークレットのクリーンアップとローテーションについては、マルウェアと漏えいしたシークレットの問題を解決する.

AutoTriage が誤検知だと思うものにフラグを立てた場合は、 UI で問題を無視する, コードコメントで無視する、またはワークスペース全体に適用されるシークレットキーワードフィルター.

最終更新 12 日前

役に立ちましたか？