Bewerten von Warnungen aus der Geheimnisüberprüfung

Über das Auswerten von Warnungen

Es gibt einige zusätzliche Features, mit denen Sie Warnungen auswerten können, um sie besser zu priorisieren und zu verwalten. Sie können Folgendes ausführen:

• Überprüfen Sie die Gültigkeit eines Geheimnisses, um festzustellen, ob das Geheimnis noch aktiv ist. Gilt nur für GitHub Token. Siehe Überprüfen der Gültigkeit eines geheimen Geheimnisses.
• Führen Sie eine „On-Demand“-Gültigkeitsprüfung durch, um den aktuellen Gültigkeitsstatus zu erhalten. Siehe Ausführen einer On-Demand-Gültigkeitsprüfung.
• Überprüfen Sie die Metadaten eines Tokens. Gilt nur für GitHub-Token. Um beispielsweise zu sehen, wann das Token zuletzt verwendet wurde. Siehe Überprüfung der GitHub Token-Metadaten.
• Überprüfen Sie erweiterte Metadatenprüfungen für ein offengelegtes Geheimnis, um Details anzuzeigen, z. B. wer das Geheimnis besitzt und wie man den Geheimnisbesitzer kontaktieren kann. Gilt nur für OpenAI-API, Google OAuth und Slack-Token. Siehe Überprüfen erweiterter Metadaten für ein Token.
• Überprüfen Sie die der Warnung zugewiesenen Bezeichnungen. Weitere Informationen findest du unter Überprüfen von Warnungsbezeichnungen.

Überprüfen der Gültigkeit eines Geheimnisses

Gültigkeitsprüfungen helfen Ihnen, Warnungen zu priorisieren, indem Sie ihnen mitteilen, welche Geheimnisse active oder inactive sind. Ein active-Geheimnis kann weiterhin ausgenutzt werden, sodass diese Warnungen als Priorität überprüft und behoben werden sollten.

Standardmäßig überprüft GitHub die Gültigkeit von GitHub-Token und zeigt den Gültigkeitsstatus des Tokens in der Warnungsansicht an.

Organisationen, die GitHub Team oder GitHub Enterprise Cloud mit einer Lizenz für GitHub Secret Protection verwenden, können Gültigkeitsprüfungen ebenfalls für Partnermuster aktivieren. Weitere Informationen findest du unter Überprüfen der Gültigkeit eines Geheimnisses.

Gültigkeitsdauer	Status	Ergebnis
Aktives Geheimnis	active	GitHub hat beim Anbieter dieses Geheimnisses nachgefragt und ermittelt, dass dieses Geheimnis aktiv ist.
Möglicherweise aktives Geheimnis	unknown	GitHub bietet noch keine Gültigkeitsüberprüfungen für diesen Tokentyp.
Möglicherweise aktives Geheimnis	unknown	GitHub konnte dieses Geheimnis nicht überprüfen.
Geheimnis inaktiv	inactive	Du solltest sicherstellen, dass noch kein unautorisierter Zugriff erfolgt ist.

Sie können die REST-API verwenden, um eine Liste des neuesten Überprüfungsstatus für jedes Ihrer Token abzurufen. Weitere Informationen findest du in der REST-API-Dokumentation unter REST-API-Endpunkte für die Geheimnisüberprüfung. Sie können auch Webhooks verwenden, um über Aktivitäten im Zusammenhang mit einer secret scanning-Warnung benachrichtigt zu werden. Weitere Informationen findest du im Abschnitt zum secret_scanning_alert-Ereignis unter Webhook-Ereignisse und -Nutzlasten.

Überprüfen von GitHub-Tokenmetadaten

In der Ansicht für eine aktive GitHub-Tokenwarnung kannst du bestimmte Metadaten zum Token überprüfen. Diese Metadaten können dir helfen, das Token zu identifizieren und zu entscheiden, welche Korrekturschritte ausgeführt werden sollen.

Token wie personal access token und andere Anmeldeinformationen werden als personenbezogene Daten betrachtet. Weitere Informationen zur Verwendung von GitHub-Token finden Sie unter GitHub-Datenschutzerklärung und Richtlinien zur akzeptablen Nutzung von GitHub.

Metadaten für GitHub-Token sind für aktive Token in jedem Repository mit aktivierter Geheimnisüberprüfung verfügbar. Wenn ein Token widerrufen wurde oder sein Status nicht überprüft werden kann, sind keine Metadaten verfügbar. GitHub widerruft GitHub-Token in öffentlichen Repositorys automatisch. Daher ist es unwahrscheinlich, dass Metadaten für GitHub-Token in öffentlichen Repositorys verfügbar sind. Die folgenden Metadaten sind für aktive GitHub-Token verfügbar:

Metadaten	Beschreibung
Geheimnisname	Der Name, der dem GitHub-Token vom Ersteller/der Erstellerin zugewiesen wurde
Geheimnisbesitzer*in	Das GitHub-Handle des Tokenbesitzers/der Tokenbesitzerin
Erstellt am	Erstellungsdatum des Tokens
Abgelaufen am	Ablaufdatum des Tokens
Zuletzt verwendet am	Datum der letzten Verwendung des Tokens
Access	Gibt an, ob das Token über Organisationszugriff verfügt

Überprüfen erweiterter Metadaten für ein Token

In der Ansicht für eine aktive GitHub-Tokenwarnung können Sie erweiterte Metadaten wie Besitzer- und Kontaktdetails anzeigen.

In der folgenden Tabelle sind alle verfügbaren Metadaten aufgeführt. Beachten Sie, dass Metadatenüberprüfungen derzeit auf OpenAI-API-, Google OAuth- und Slack-Token beschränkt sind, und die für jedes Token angezeigten Metadaten können nur eine Teilmenge dessen darstellen, was vorhanden ist.

Metadatentyp	Beschreibung
Besitzer-ID	Eindeutiger Bezeichner des Anbieters für das Benutzer- oder Dienstkonto, das den geheimen Schlüssel besitzt
Besitzername	Lesbarer Benutzername oder Anzeigename des Besitzers des geheimen Schlüssels
E-Mail-Adresse des Besitzers	E-Mail-Adresse, die dem Besitzer zugeordnet ist
Organisationsname	Name der Organisation/ des Arbeitsbereichs/Projekts, zu dem der geheime Schlüssel gehört
Organisations-ID	Eindeutiger Bezeichner des Anbieters für diese Organisation
Geheimhaltungs-Ausgabedatum	Zeitstempel, zu dem der geheime Schlüssel (Token oder Schlüssel) erstellt oder zuletzt ausgestellt wurde
Geheimes Ablaufdatum	Zeitstempel für das geplante Ablaufdatum des Geheimnisses
Geheimnisname	Menschlich zugewiesener Anzeigename oder Bezeichnung für das Geheimnis
Geheime ID	Eindeutiger Bezeichner des Anbieters für den geheimen Schlüssel

Überprüfen von Warnungsbezeichnungen

In der Warnungsansicht können Sie alle der Warnung zugewiesenen Bezeichnungen überprüfen. Die Bezeichnungen enthalten zusätzliche Details zur Warnung, denen Sie die Vorgehensweise zur Wartung entnehmen können.

Secret scanning-Warnungen können die folgenden Bezeichnungen zugewiesen sein. Je nach zugewiesenen Bezeichnungen werden zusätzliche Informationen in der Warnungsansicht angezeigt.

Label	Beschreibung	Warnungsansicht-Informationen
public leak	Durch mindestens einen Scan von Code, Diskussionen, Gists, Issues, Pull Requests und Wikis durch GitHub wurde festgestellt, dass der in Ihrem Repository erkannte geheime Schlüssel auch öffentlich durchgesickert ist. Das macht es eventuell erforderlich, die Warnung mit größerer Dringlichkeit zu bearbeiten oder die Wartung auf andere Weise vorzunehmen als bei einem privat verfügbar gemachten Token.	Links zu bestimmten öffentlichen Speicherorten, an denen der geleakte Geheimschlüssel erkannt wurde, werden angezeigt.
multi-repo	Das in Ihrem Repository entdeckte Geheimnis wurde in mehreren Repositories in Ihrer Organisation oder Ihrem Unternehmen gefunden. Diese Informationen können Ihnen dabei helfen, die Warnung in Ihrer Organisation oder Ihrem Unternehmen leichter zu bereinigen.	Wenn Sie über entsprechende Berechtigungen verfügen, werden Links zu bestimmten Warnungen für denselben Geheimschlüssel in Ihrer Organisation oder Ihrem Unternehmen angezeigt.

Nächste Schritte

•         [AUTOTITLE](/code-security/secret-scanning/managing-alerts-from-secret-scanning/resolving-alerts)