Secret Scanning

PUSH PROTECTION

ghas-test-1 で、生成した secret を push する。

push がブロックされ、ターミナルに解除用の URL が表示される。

どのパターンを push protection の対象にするかは Enterprise 単位で制御する：octodemo → Pattern configurations ↗。Enterprise setting 列でパターンごとに ON / OFF を切り替える。Alert total・False positives・Bypass rate が並ぶので、ノイズと risk のバランスを実データで説明できる。

同じページは 何を検出するのか のスライドでも扱う（generic patterns を掘り出す）。

BYPASS PUSH PROTECTION

ブロックメッセージ内の unblock-secret URL をブラウザで開き、理由を選んで bypass する。

「secret can now be pushed」と表示される。

同じブランチをもう一度 push する。

Security → Secret scanning のクローズ済みアラートを開き、誰が・どの理由で bypass したかを見せる。

bypass を野放しにしない設定：Settings → Advanced Security → Push protection で Who can bypass push protection を Specific roles or teams に（= Delegated bypass）。

VALIDITY CHECK

Security → Secret scanning の default ビューで Validity フィルターを使う。

「今も有効な secret」から優先的に対応でき、実リスク順にトリアージできる。

GENERIC PATTERNS はどこに隠れているか

octodemo → Pattern configurations ↗ を開き、default patterns タブをスクロールする。

一覧はフラット。カテゴリ列も provider / generic の区別も絞り込みもない。generic patterns は確かに存在するが、generic とは表示されない。

名前で指し示す。この 10 個が generic patterns のすべて：

rsa_private_key openssh_private_key ec_private_key pgp_private_key generic_private_key mongodb_connection_string mysql_connection_url postgres_connection_string http_basic_authentication_header http_bearer_authentication_header

いずれも GitHub default は Disabled。検知は動くが push protection は効かない。Enterprise setting 列で ON にして初めて対象になる。

CUSTOM PATTERN と DRY RUN

Settings → Advanced Security → Custom patterns → New pattern

該当する secret はデモリポジトリに仕込み済みなので、パターンを作るだけでよい：

Pattern name — Octodemo internal service token

Secret format — octodemo_(live|test)_[A-Za-z0-9]{32}

Test string — octodemo_live_L1QNGy4DLxQJ8C85kfwP0lmvCHLDuVxJ

Test string が緑にならないと保存できない。緑になったら Save and dry run。

dry run はアラートを作らずに仕込んだ secret を検出する。結果を確認してから Publish pattern、必要なら push protection も ON にする。

CAMPAIGNS タブ

theomonfort-org → Campaigns ↗ を開く。

トラッキング画面。各 campaign の 期限・担当者・未対応 / 対応済みの消化状況が並ぶ。伝えたいのは アラートに担当者と期限が付く場所がここ（スプレッドシートではない）ということ。

SECRET SCANNING フィルターから作成

Create campaign → From secret scanning filters

その場でフィルターを組み立てて絞り込みの考え方を見せる。is:open から始め、対象リポジトリを絞り、Validity で Active と Unknown を選ぶ。

フィルターを足すたびに件数が減るのを見せる。これが要点で、バックログではなく終われるリストになる。保存できるのは 1000 alerts まで。

名前・期限・公開

Save as → Draft campaign で下書きし、名前・説明・期限・campaign manager を入力。

manager の候補に org owner と security manager しか出ないことに触れる。

Review and publish でアラートを見られる人全員に通知が飛び、各リポジトリの Security タブに campaign が出る。secret campaign が public preview であることも一言添える。