Wenn secret scanning ein potenzielles Secret-Leck in deinem Repository entdeckt, ist es für die Sicherheit deines Codes entscheidend, über diese Warnungen informiert zu sein. GitHub stellt mehrere Benachrichtigungskanäle bereit, um sicherzustellen, dass Sie und Ihr Team umgehend benachrichtigt werden, wenn geheime Schlüssel gefunden werden. Sie können anpassen, wie und wann Sie diese Benachrichtigungen basierend auf Ihrer Rolle und Ihren Einstellungen erhalten.
Du kannst auch die Reaktionen auf secret scanning Warnhinweise überprüfen, um zu verfolgen, wie dein Team mit Sicherheitsproblemen umgeht und die Compliance mit den Richtlinien deiner Organisation aufrechterhält.
Konfigurieren von Benachrichtigungen für Warnungen zur Geheimnisüberprüfung
Zusätzlich zur Anzeige einer Warnung auf der Registerkarte Sicherheit des Repositorys kann GitHub auch E-Mail-Benachrichtigungen für Warnungen versenden. Diese Benachrichtigungen unterscheiden sich für inkrementelle Scans und historische Scans.
Inkrementelle Überprüfung
Wenn ein neues Geheimnis erkannt wird, benachrichtigt GitHub alle Benutzenden mit Zugriff auf Sicherheitswarnungen für das Repository entsprechend ihren Benachrichtigungseinstellungen. Zu diesen Benutzer gehören Folgenden:
- Repositoryadministratoren
- Sicherheitsmanager
- Benutzer*innen mit benutzerdefinierten Rollen mit Lese-/Schreibzugriff
- Organisationsbesitzerinnen und Unternehmensbesitzerinnen, wenn sie Administrator*innen von Repositorys sind, in denen Geheimnisse geleakt wurden
Hinweis
Autoren, die versehentlich Geheimnisse committed haben, werden unabhängig von ihren Benachrichtigungseinstellungen benachrichtigt.
Du erhältst in folgenden Fällen eine E-Mail-Benachrichtigung:
- Du überwachst das Repository.
- Sie haben Benachrichtigungen für "Alle Aktivitäten" oder für benutzerdefinierte "Sicherheitswarnungen" im Repository aktiviert.
- Du hast in deinen Benachrichtigungseinstellungen unter „Abonnements“ > „Beobachten“ ausgewählt, dass du Benachrichtigungen per E-Mail erhalten möchtest.
-
Um mit der Überwachung des Repositorys zu beginnen, wähle Watch aus.
-
Klicke im Dropdownmenü auf Jede Aktivität. Um nur Sicherheitswarnungen zu abonnieren, klicke alternativ auf Benutzerdefiniert und dann auf Sicherheitswarnungen.
-
Navigiere zu den Benachrichtigungseinstellungen für dein persönliches Konto. Diese sind unter https://github.com/settings/notifications verfügbar.
-
Wähle auf der Seite mit den Benachrichtigungseinstellungen unter „Abonnements“ und dann unter „Beobachten“ die Dropdownliste Mich benachrichtigen aus.
-
Wähle „E-Mail“ als Benachrichtigungsoption aus, und klicke dann auf Speichern.
Weitere Informationen zum Einrichten der Benachrichtigungseinstellungen findest du unter Verwalten von Sicherheits- und Analyseeinstellungen für dein Repository und unter Konfigurieren von Überwachungseinstellungen für ein einzelnes Repository.
Verlaufsbezogene Überprüfungen
Bei historischen Scans benachrichtigt GitHub die folgenden Benutzer:
- Organisationsbesitzerinnen, Unternehmensbesitzerinnen und Sicherheitsmanager – immer dann, wenn eine verlaufsbezogene Überprüfen abgeschlossen ist, auch wenn keine Geheimnisse gefunden werden
- Repositoryadministratorinnen, Sicherheitsmanager und Benutzerinnen mit benutzerdefinierten Rollen mit Lese-/Schreibzugriff – immer dann, wenn bei einer verlaufsbezogenen Überprüfung ein Geheimnis erkannt wird, und entsprechend ihren Benachrichtigungseinstellungen
Commitautoren werden nicht benachrichtigt.
Weitere Informationen zum Einrichten der Benachrichtigungseinstellungen findest du unter Verwalten von Sicherheits- und Analyseeinstellungen für dein Repository und unter Konfigurieren von Überwachungseinstellungen für ein einzelnes Repository.
Überwachungsantworten auf Warnungen zur Geheimnisüberprüfung
Du kannst die Aktionen, die als Reaktion auf secret scanning-Warnungen ergriffen wurden, mit GitHub-Tools überprüfen. Weitere Informationen finden Sie unter Prüfen von Sicherheitswarnungen.