Skip to main content

​
Übersicht

Secret-Scanning ist eine zentrale Funktion von Corgeas AI-native SAST. Sie erkennt hartcodierte Zugangsdaten, API-Schlüssel, Tokens und andere sensible Informationen in Ihrer Codebasis. Werden Secrets vor dem Deployment erkannt, lassen sich unbefugte Zugriffe, Datenschutzverletzungen und Compliance-Verstöße verhindern. Im Gegensatz zu herkömmlichen Secret-Scannern, die ausschließlich Muster abgleichen, kombiniert Corgea Pattern Matching, Entropieanalyse und KI-gestützte Kontextanalyse. Dadurch werden False Positives reduziert, ohne die Abdeckung einzuschränken.

​
So funktioniert es

Corgeas Secret-Scanner analysiert die gesamte Codebasis mit mehreren Verfahren:
1

Pattern Matching

Erkennt bekannte Secret-Formate anhand einer umfangreichen Mustersammlung für verbreitete Services und Plattformen.
2

Entropie-Analyse

Erkennt hochentropische Zeichenfolgen, die auf zufällig generierte Schlüssel, Tokens oder Passwörter hinweisen können.
3

Kontextanalyse

Analysiert den Kontext potenzieller Secrets mit KI und reduziert False Positives durch Testdaten, Beispiele oder Platzhalter.

​
Unterstützte Dateitypen

Der Secret-Scanner unterstützt zahlreiche Dateitypen, Sprachen und Frameworks:

​
Erkannte Secret-Typen

Corgeas Secret-Scanner erkennt zahlreiche Secret-Typen für unterschiedliche Plattformen und Services:
  • AWS Access Keys und Secret Keys
  • Google Cloud API Keys
  • Azure Storage Account Keys
  • Azure Service Principal Credentials
  • DigitalOcean-Zugriffstoken
  • Alibaba Cloud-Zugangsschlüssel
  • API-Schlüssel und Token
  • Authentifizierungsdaten
  • Personal Access Tokens
  • OAuth-Token
  • Bearer-Token
  • Service-Account-Tokens
  • Datenbank-Verbindungszeichenfolgen
  • MongoDB-URIs
  • PostgreSQL-Verbindungszeichenfolgen
  • MySQL-Zugangsdaten
  • Redis-Passwörter
  • Speicherzugangsschlüssel
  • Private Schlüssel (RSA, SSH, PGP)
  • SSL/TLS-Zertifikate
  • Verschlüsselungsschlüssel
  • JWT-Secrets
  • Signaturschlüssel
  • Zugangsdaten für Zahlungsgateways
  • Stripe-API-Schlüssel
  • PayPal-Zugangsdaten
  • Square-Zugangstoken
  • Slack-Tokens und Webhooks
  • Twilio-API-Schlüssel
  • SendGrid-API-Schlüssel
  • Mailgun-Zugangsdaten
  • GitHub-Tokens
  • GitLab-Token
  • NPM-Token
  • Docker-Registry-Anmeldeinformationen
  • CI/CD-Secrets
  • Interne Endpunkte
  • Private URLs
  • Umgebungsvariablen mit Secrets
  • Hartcodierte Passwörter
  • Authentifizierungs-Cookies

​
Erkennungsergebnisse

Für erkannte Secrets stellt Corgea umfassende Informationen zur Analyse und Behebung bereit:

Secret-Typ

Klassifizierung des erkannten Secrets, beispielsweise AWS Access Key oder API-Token

Position

Exakter Dateipfad und Zeilennummer des Secrets

Sicherheitsauswirkung

Bewertung des potenziellen Risikos und der Auswirkungen des offengelegten Secrets

Anleitung zur Behebung

Konkrete Schritte zum Absichern des Secrets

​
Präventionsstrategien

1

Pre-Commit-Hooks

Verwenden Sie pre-commit-Hooks, um vor dem Commit nach Secrets zu suchen.
2

Entwicklerschulung

Schulen Sie Ihr Team zu den Risiken hartcodierter Secrets und sicheren Alternativen.
3

Code-Reviews

Integrieren Sie Secret-Scanning in den Code-Review-Prozess.
4

Automatisiertes Scannen

Aktivieren Sie automatisiertes Secret-Scanning in Ihrer CI/CD-Pipeline.

​
Integration in den Entwicklungs-Workflow

Secret-Scanning lässt sich in den Entwicklungsworkflow integrieren:

Pull-Request-Scanning

Pull Requests vor dem Merge automatisch auf Secrets scannen

CI/CD-Integration

Secret-Scans als Teil der Continuous-Integration-Pipeline ausführen

IDE-Erweiterungen

Erhalten Sie Echtzeit-Feedback beim Programmieren mit IDE-Integrationen

Scheduled Scans

Repositories regelmäßig auf Secrets im bestehenden Code scannen

Mehr erfahren

AI-native SAST zur umfassenden Schwachstellenerkennung kennenlernen