Git是一个开放源码的分布式系统软件版本自动控制系统，用以灵巧高效率地解决一切或小或大的系统软件开发新项目。Git 储存库看起来便是一个文件夹名称，但是，在这个文件夹名称中不仅储存了全部软件系统的现阶段版本号，也与此同时储存了任何的历史数据。Git储存库的多样性和便捷性使其常常遭遇人为因素失误的危害，公司每日在公共性Git储存库上泄漏不计其数的关键编码信息，包含数据库查询登陆密码、邮箱账号、管理方法URL等个人隐私信息等，导致了重大损失。伴随着大家对这个问题的了解持续加重，一些新的安全工具和工艺也层出不穷，以在全部开发软件生命期(SDLC)中给予系统性的安全性维护。
什么叫Git秘密扫描(secret scanning)?
编码个人隐私信息泄漏的不良影响不可忽视。不论是不正确置放的密匙，或者出现意外泄漏的数据库查询登陆密码都有可能会转换为及时困境，产生很大的财产损失。Git秘密扫描是以网络攻击的视角考虑，提早对必须提交至Git储存库的编码数据信息开展扫描或规律性的扫描，避免比较敏感信息泄漏，并立即删掉曝露的信息。Git秘密扫描有2种方式，每一种方式都包含“不断集成”(Continuous Integration，通称CI)/“持续交付”(Continuous Delivery，简称CD)管路的差异环节。
• 第一种方式偏重于防止
第一种方式尝试从一开始就避免秘密泄漏，这类Git秘密扫描方式根据集成到CI/CD管路中并实时监控系统开发者的实际操作，阻拦包括秘密的出现意外编码递交，阻拦其公布曝露。
• 第二种方式偏重于立即检测
第二种方式则试着检测很有可能早已泄露的秘密。故意个人行为者一直在应用Git扫描技术性，尝试从公共性和配备不正确的Git储存库文件获取秘密，并将其用以故意主题活动中。要是没有像故意网络攻击常用的如此强劲的扫描专用工具，公司很有可能压根不晓得自身的秘密已被泄漏。除此之外，还必须留意的是，秘密检测是一个飞速发展的全过程，务必按时升级。
Top 9秘密扫描解决方法
没有人想要沦落Git秘密泄漏的受害人，下列例举了9款Git秘密扫描解决方法，协助公司在开发软件生命期(SDLC)的初期引进安全系数，总体目标是让参加SDLC的每一个人来开发设计更可靠的应用软件。
1、gitLeaks
gitLeaks是在MIT批准下公布的开源系统静态数据剖析命令行工具，适用于检测当地和GitHub储存库(私有化和公共性)中的硬编码秘密，如登陆密码、API密匙和动态口令。
gitLeaks运用正则(Regular expressions)和熵字符串数组编号(entropy string coding)，依据自定标准检测秘密，并且以JSON、SARIF或CSV格式导出来汇报。
- 优势：gitLeaks是一个开源软件，由50多名推动者积极主动开发设计所得的，可免费试用。值得一提的是，gitLeaks还包括大部分开源软件中都没有的集成、财务审计和复制作用。
- 缺陷：因为欠缺操作界面且仅有不足的集成选择项，gitLeaks比较合适安全性专业人员、科学研究工作人员或技术专业开发设计新项目。
2、SpectralOps
Spectral是较全方面的秘密扫描解决方法，包含从集成到搭建流程的各个领域。不论是静态数据搭建、预递交到Git或是CI集成，Spectral都能给予简便的集成选择项。
有意思的是Spectral可以扫描Git储存库，不但可以扫描编码中的硬件配置问题和秘密，还能够扫描代码库中的日志、二进制文件和别的非常容易忽视的潜在性泄露源。
- 优势：Spectral应用形象化的操作界面，使其更容易浏览并合适企业经营管理。Spectral秘密扫描技术性所使用的AI和机器学习算法，可保证伴随着系统软件解决信息量的持续提升，检测率也可以不断提升，并持续减少漏报率。
- 缺陷：Spectral不太合适中小型新项目或单独开发者，它致力于在大中型代码库上开展合作的研发精英团队而设计方案。
3、 Git-Secrets
Git-secrets是一种开发设计安全工具，可避免客户在Git储存库文件包括商业秘密和别的比较敏感信息。它会扫描递交编码和表明，当与客户事先配备的严禁关系式匹配算法，便会阻拦递交。
- 优势：Git-Secrets可以集成到CI/CD管路中以实时监控系统递交信息。
- 缺陷：Git-secrets应用非常简洁的检测优化算法，关键为“正则”(regular expression)，这通常会致使很多乱报。并且，该新项目不会再维护保养，很有可能不适宜在技术专业开发工具中应用。
4、 Whispers
Whispers是一种开源系统静态数据编码分析工具，致力于检索硬编码凭证和风险函数公式。它可以做为命令行工具运作或集成到CI/CD管路中。该专用工具致力于分析结构型文字，例如YAML、JSON、XML、npmrc、.pypirc、.htpasswd、.properties、pip.conf、conf/ini、Dockerfile、Shell脚本制作和Python3及其申明特定的Javascript、Java、GO、PHP格式。
- 优势：Whispers拆箱即用，适用多种多样秘密检测格式，包含登陆密码、AWS密匙、API令牌、比较敏感文档、风险函数公式等。除此之外，Whispers还包含一个软件系统软件，可用以将其扫描作用进一步拓展到新的文档格式。
- 缺陷：Whispers致力于相互配合别的秘密扫描解决方法，不对具体执行命令深层扫描，其扫描标准也仅仅根据正则、Base64和Ascii检测的比较有限组成。
5、 GitHub秘密扫描(Secret scanning)
当应用GitHub做为公司的公共性储存库时，GitHub会给予自身的集成秘密扫描解决方法，以检测时兴的API密匙和动态口令构造。假如要想扫描私有化储存库，公司要得到高級安全生产许可证。客户可以根据给予“正则”公式计算来拓展检测优化算法，以检测自定秘密字符串数组构造。
- 优势：应用GitHub可以更简单地开展数据可视化扫描、配备和集成。该服务项目包括对很多网络流行语服务项目普遍API密匙和动态口令字符串数组构造的适用，为一切安全风险评估给予稳固的基本。
- 缺点：现阶段，对于私有化储存库的秘密扫描正处在产品测试。全部服务项目的侧重点十分狭小，关键对于已经知道的字符串数组构造，例如API密匙和动态口令，而忽视别的秘密，例如数据库查询登陆密码、电子邮箱地址、管理方法URL等。
6、 Gittyleaks
Gittyleaks是一个简易的Git秘密扫描命令工具，可以扫描和复制储存库。它尝试发觉不可包括在编码或环境变量中的登录名、登陆密码和电子邮箱。
- 优势：Gittyleaks是一款简洁的工具，可用以迅速扫描储存库以搜索显著的秘密。它较为简约，不用别的解决方法那般开展更繁杂的配备。
- 缺点：由于其简易性和固定不动标准，Gittyleaks最合适做为介绍性工具，以协助客户掌握编码中的秘密。可是，它欠缺商业服务开发设计精英团队需要的强悍作用和操作灵活性。
7、 Scan
Scan是一个全方位的开源系统网络安全审计工具。它可以与Azure、BitBucket、GitHub、GitLab、Jenkins、TeamCity等时兴储存库和管路集成。除此之外，Scan还适用普遍的盛行架构和语言表达，可以集成到CI/CD管路中以给予即时维护，并给予普遍的汇报作用。
- 优势：因为其优良的开源系统特性，Scan可能是公司可以免費得到的最强劲、最灵敏的DevSecOps工具之一。
- 缺点：尽管Scan的确强劲且灵便，但其并不友善的操作界面和繁杂设定，促使仅有极少数安全性权威专家才可以真真正正应用Scan并从这当中获益。
8、 Git-all-secrets
Git-all-secrets是一个开源系统的秘密扫描器集成新项目。该工具现阶段取决于2个开源系统秘密扫描新项目，即truffleHog和repo-supervisor——这两个项目应用“正则”和高熵(high entropy)优化算法开展秘密检验。Git-all-secrets归纳了2个扫描器的组成結果，以展现更全方位的主视图。
- 优势：Git-all-secrets引进了一个趣味的定义，它尝试根据不依靠单一优化算法的方法来提高秘密扫描結果。
- 缺点：尽管应用了一种新奇的方式，但Git-all-secrets最底层扫描依然取决于基本上优化算法，而且现阶段早已没人再积极主动维护保养该新项目了。该工具给予了大量的定义认证(proof-of-concept，PoC)，未来也许会被别的新项目运用。
9、 Detect-secrets
Detect-secrets是一个积极主动维护保养的开源软件，专为客户需求设计方案。它的建立初心是避免新的秘密进到代码库，检验防范措施是不是出现缺点，并给予一份秘密明细以在安全存储中做好维护保养。Detect-secrets的基本工作原理是按时较为“正则”句子，以鉴别很有可能已提交的新秘密。
- 优势：Detect-secrets的扫描方式预防了扫描全部git历史时间文档，及其每一次都必须扫描全部储存库的繁杂每日任务。并且，它的软件适用也很好，现阶段有18个不一样的软件可以用，包含AWS密匙、熵字符串数组、Base64编号、Azure密匙这些。
- 缺点：假如秘密被分为几行或不包含充足的熵，则Detect-secrets很有可能没法即时检验到他们。
总结
很显著，积极主动扫描Git储存库和开发者递交文档以避免商业秘密泄漏，应当变成每一个企业开发软件管路的强制一部分。每日，都是会开演故意个人行为者盗取个人信息信息内容和个人专利权的戏份。而这种通常是因为欠缺编码安全性实践活动或只是因为人为因素失误导致。公司客户可以根据运行立即集成到CI/CD管路中的秘密扫描技术性，对与那些新项目有关的Git储存库开展积极秘密扫描来减轻在其中的很多问题。
全文连接：
https://blog.checkpoint.com/2022/03/18/top-9-git-secret-scanning-tools-for-devsecops/。