Secretsの自動トリアージ

Secrets AutoTriage はどのように Aikido Agent シークレットスキャンのノイズを減らし、実際に危険な漏えいシークレットに集中できるようにします。まず誤検知を除外し、次に（検出結果が本物の場合）漏えいしたシークレットがどれほど危険かで優先度を付けます。

Secrets AutoTriage は、Aikido がコード内で検出したシークレットに対して動作します。スキャン対象は変更せず、検出結果のフィルタリングと優先順位付けのみを行います。この機能は Pro プランと Advanced プランでのみ利用できます.

Secrets AutoTriage を有効にする

Secrets AutoTriage は デフォルトでは有効になっていません。ワークスペースの設定から有効にできるのは、ワークスペース管理者のみです。

次へ移動します: 設定 → Triage.

次で: シークレットのノイズ削減、 Secrets AI Triageを有効にします。有効にすると、次回のスキャンで Aikido はシークレットの検出結果に AutoTriage を適用します。

Secrets AutoTriage 自体はスキャナーではありません。シークレットスキャンの下流で動作し、検出結果が 実際に漏えいしたシークレット かどうか、そして該当する場合はどの程度危険な漏えいかを判断します。

大半の検出結果については、Aikido は Aikido 定義のルールと有効性チェックに基づいてトリアージします。より曖昧なケースでは、Aikido は周囲のコードコンテキストを使って、その一致が本物のシークレットなのか、プレースホルダー、例、テスト値なのかを判断します。

シークレットがフィードに届く前に、Aikido はシークレットに見えても実際にはそうではない一致を除外します。これには次のものが含まれる場合があります:

これらの手順だけでも、シークレットアラートのかなりの割合を抑制できます。

見た目は正当なシークレットでも、パターンだけでは本物と見分けられないことがあります。判断が難しい場合、Aikido は本物の漏えいを隠してしまうより、検出結果を残して確認できるようにします。

一致が本物のシークレットに見える場合、Aikido の Live Secret Detection がそのシークレットがまだ有効かどうかを確認し、付与されるアクセス範囲を調べます。AutoTriage はこれらのシグナルを使って優先度を調整します:

Secrets AutoTriage は コンテキストを強く必要とする ように設計されています。実際には、次のようなものを考慮します:

各 AutoTriage の判定変更は記録されるため、Aikido が何を分析し、何を行ったかを確認できます。In Triage 設定、管理ドロップダウンを開き、 履歴を表示 をクリックして Secrets Triage 履歴 ページ。

履歴テーブルでは、関連する評価がファイル、リポジトリ、時間ごとにグループ化されます。各行には、日付、ファイルパス、リポジトリ、分析されたシークレットの数、および実行されたトリアージ操作の概要が表示されます。検索とリポジトリフィルターを使って一覧を絞り込めます。

表示されるアクション:

シークレットが実際の漏えいであると確認されたら、できるだけ早くローテーションしてください。シークレットをコードから削除するだけでは不十分です。git 履歴に残り続けるためです。漏えいしたシークレットのクリーンアップとローテーションの手順については、マルウェアと漏えいしたシークレットの問題の解決.

AutoTriage が誤検知だと思われるものをフラグ付けした場合は、 UI でその問題を無視することができます, コードコメントで無視できます、またはワークスペース全体に適用する Secret Keyword Filter.

最終更新 1 か月前

役に立ちましたか？