Best Practices zum Verhindern von Datenlecks in deiner Organisation

Über diesen Leitfaden

Als Organisationsbesitzer*in sollte die Verhinderung der Offenlegung privater oder vertraulicher Daten oberste Priorität haben. Ob absichtlich oder versehentlich, Datenlecks können erhebliche Risiken für die beteiligten Parteien darstellen. Während GitHub Maßnahmen ergreift, um dich vor Datenlecks zu schützen, bist du auch für die Verwaltung deiner Organisation verantwortlich, um die Sicherheit zu erhöhen.

Es gibt mehrere Schlüsselkomponenten, wenn es um die Abwehr von Datenlecks geht:

• Proaktives Vorgehen bei der Prävention
• Frühzeitige Erkennung möglicher Lecks
• Verwalten von vorbeugenden Maßnahmen, wenn ein Vorfall auftritt

Der beste Ansatz hängt von der Art der Organisation ab, die du verwaltest. Beispielsweise erfordert eine Organisation, die sich auf Open-Source-Entwicklung konzentriert, möglicherweise eine lockerere Steuerung als eine vollständig kommerzielle Organisation, um eine externe Zusammenarbeit zu ermöglichen. Dieser Artikel enthält allgemeine Anleitungen zu den zu berücksichtigenden GitHub-Features und -Einstellungen, die du entsprechend deiner Anforderungen implementieren solltest.

Sichere Konten

Schütze die Repositorys und Einstellungen deiner Organisation, indem du bewährte Sicherheitsmethoden implementierst, z. B. durch Aktivieren und Erzwingen von 2FA für alle Mitglieder sowie durch Einrichten von Richtlinien für sichere Kennwörter.

• Organisationsmitglieder, externe Mitarbeiter und Abrechnungsmanager müssen 2FA für ihre persönlichen Konten aktivieren, um böswilligen Akteuren den Zugriff auf die Repositories und Einstellungen einer Organisation zu erschweren. Weitere Informationen finden Sie unter Erfordern der zweistufigen Authentifizierung in deiner Organisation.

• Benutzer*innen animieren, sichere Kennwörter zu erstellen und sie angemessen zu schützen, indem sie die empfohlenen GitHub-Kennwortrichtlinien befolgen. Weitere Informationen finden Sie unter Ein sicheres Passwort erstellen.

• Eine interne Sicherheitsrichtlinie in GitHub einrichten, damit Benutzer*innen wissen, welche Schritte sie ausführen und wen sie bei Verdacht auf einen Vorfall kontaktiert müssen. Weitere Informationen finden Sie unter Hinzufügen einer Sicherheitsrichtlinie für dein Repository.

Weitere Informationen zum Sichern von Konten finden Sie unter Bewährte Methoden zum Schützen von Konten.

Verhindern von Datenlecks

Als Organisationsbesitzer*in solltest du den Zugriff entsprechend dem Typ deiner Organisation einschränken und überprüfen. Berücksichtige die folgenden Einstellungen für eine striktere Kontrolle:

Empfehlung	Mehr Informationen
Deaktiviere die Möglichkeit, Repositorys zu forken.

          [AUTOTITLE](/repositories/managing-your-repositorys-settings-and-features/managing-repository-settings/managing-the-forking-policy-for-your-repository)

Deaktivieren Sie die Änderungsmöglichkeit für die Repositorysichtbarkeit. | Einschränken von Änderungen der Sichtbarkeit von Repositorys in deiner Organisation Beschränke die Repositoryerstellung auf „Privat“ oder „Intern“. |
Einschränken der Repositoryerstellung in deiner Organisation Deaktiviere das Löschen und Übertragen von Repositorys. | Berechtigungen zum Löschen oder Übertragen von Repositorys festlegen | | Lege den Bereich für personal access token auf die erforderlichen Mindestberechtigungen fest. | Nichts Schütze deinen Code, indem du öffentliche Repositorys bei Bedarf in private konvertierst. Du kannst die Repositorybesitzer*innen automatisch über eine GitHub App über diese Änderung benachrichtigen. | Verhindern öffentlicher Repositorys in GitHub Marketplace Bestätige die Identität deiner Organisation, indem du deine Domäne überprüfst und E-Mail-Benachrichtigungen nur auf überprüfte E-Mail-Domänen beschränkst. | Überprüfen oder Genehmigen einer Domäne für deine Organisation und Einschränken von E-Mail-Benachrichtigungen für deine Organisation Verhindere, dass Mitwirkende versehentlich Commits durchführen. | Entfernen vertraulicher Daten aus einem Repository

Erkennen von Datenlecks

Unabhängig davon, wie gut du deine Organisation stärkst, um Datenlecks zu verhindern, können einige immer noch auftreten, und du kannst mit secret scanning, dem Überwachungsprotokoll und Branchschutzregeln darauf reagieren.

Verwenden von secret scanning

Secret scanning hilft dabei, Code zu sichern und Geheimnisse in Organisationen und Repositorys zu schützen, indem Geheimnisse überprüft und erkannt werden, die versehentlich über den vollständigen Git-Verlauf jedes Branchs in GitHub-Repositorys übertragen wurden. Für alle Zeichenfolgen, die mit Mustern übereinstimmen, dievon dir oder deiner Organisation definiert wurden, werden Warnmeldungen auf der Registerkarte Sicherheit der Repositorys angezeigt.

Ihr Website-Administrator muss secret scanning für Ihre Instance aktivieren, bevor Sie diese Funktion nutzen können. Weitere Informationen findest du unter Konfigurieren der Geheimnisüberprüfung für deine Appliance.

Weitere Informationen zu secret scanning findest du unter Informationen zur Geheimnisüberprüfung.

Du kannst secret scanning auch als Pushschutz für ein Repository oder eine Organisation aktivieren. Wenn du dieses Feature aktivierst, verhindert secret scanning, dass Mitwirkende Code mit einem erkannten Geheimnis pushen. Weitere Informationen findest du unter Informationen zum Pushschutz. Schließlich kannst du die Erkennung auch erweitern, um benutzerdefinierte Zeichenfolgenstrukturen von Geheimnissen einzuschließen. Weitere Informationen finden Sie unter Definieren von benutzerdefinierten Mustern für die Geheimnisüberprüfung.

Überprüfen des Auditprotokolls deiner Organisation

Du kannst IP-Adressen proaktiv schützen und die Compliance für deine Organisation sicherstellen, indem du das Überwachungsprotokoll deiner Organisation zusammen mit der Überwachungsprotokoll-API von GraphQL nutzt. Weitere Informationen findest du unter Auditprotokoll deiner Organisation überprüfen und Schnittstellen.

Einrichten von Branchschutzregeln

Um sicherzustellen, dass der gesamte Code ordnungsgemäß überprüft wird, bevor er mit dem Standardbranch zusammengeführt wird, kannst du den Branchschutz aktivieren. Durch Festlegen von Branchschutzregeln kannst du bestimmte Workflows oder Anforderungen erzwingen, bevor eine Mitwirkender Änderungen pushen kann. Weitere Informationen finden Sie unter Informationen zu geschützten Branches.

Alternativ zu den Regeln zum Schutz von Verzweigungen oder zum Schutz von Tags können Sie auch Regelsätze erstellen. Regelsätze haben einige Vorteile gegenüber branch und tag Schutzregeln, wie z.B. Status und bessere Auffindbarkeit ohne Admin-Zugang. Sie können auch mehrere Regelsätze gleichzeitig anwenden. Weitere Informationen finden Sie unter Informationen zu Regelsätzen.

Minimieren von Datenlecks

Wenn ein Benutzer vertrauliche Daten überträgt, bitte ihn, diese mithilfe des git filter-repo-Tools zu entfernen. Weitere Informationen finden Sie unter Entfernen vertraulicher Daten aus einem Repository. Wenn die sensiblen Daten noch nicht übertragen wurden, können Sie diese Änderungen einfach lokal rückgängig machen; weitere Informationen finden Sie unter the GitHub Blog (beachten Sie jedoch, dass git revert keine gültige Methode ist, um das Hinzufügen sensibler Daten rückgängig zu machen, da dadurch der ursprüngliche sensible Commit in der Git-Historie verbleibt).

Wenn du dich nicht direkt mit demder Repositorybesitzerin abstimmen kannst, um Daten zu entfernen, von denen du sicher sind, dass du derdie Besitzerin bist, kannst du ein DMCA-Benachrichtigungsformular ausfüllen und den GitHub-Support informieren. Vergessen Sie nicht, die problematischen Commit-Hashes mit einzubeziehen. Weitere Informationen findest du unter DMCA Takedown-Mitteilung.

Nächste Schritte

•         [AUTOTITLE](/code-security/supply-chain-security/end-to-end-supply-chain/securing-code)
  

•         [AUTOTITLE](/code-security/supply-chain-security/end-to-end-supply-chain/securing-builds)