70% секретов, обнаруженных в публичных репозиториях GitHub в 2022 году, остаются действующими и на сегодняшний день😳

GitGuardian выпустил ежегодный отчет о проблемах управления секретами в различных сервисах (GitHub, Docker Hub) и инструментах (Slack, Jira, Confluence).
Главные выводы и статистика:
🟢58% обнаруженных секретов относятся к категории неструктурированных/универсальных ("generic"). В эту категорию можно отнести жестко закодированные пароли, строки подключения к БД, токены аутентификации. Такие секреты сложно обнаружить автоматизированными средствами поиска.
🟠В приватных репозиториях хранится в 8 раз больше секретов, чем в публичных, что говорит о том, что разработчики... ленивы!😅
Им проще закрыть репо, чем удалить секреты и не использовать жестко закодированные пароли и токены.
🟢Разработчики всё чаще хранят секреты в инструментах для совместной работы (Slack, Jira, Confluence). На первом скрине можно увидеть статистику по каждому инструменту.
🟠Анализ 15 миллионов публичных образов Docker (на Docker Hub) выявил около 100 000 действующих секретов, включая ключи AWS, GCP и токены GitHub, принадлежащие компаниям из списка Fortune 500. Примечательно, что 98% обнаруженных секретов находились исключительно в слоях образов.
🟢В репозиториях, где используется Copilot, частота утечек секретов на 40% выше, чем в среднем по всем публичным репозиториям. Это может быть связано как с тем, что код, генерируемый LLM, может быть менее безопасным, так и с тем, что использование ИИ может подталкивать разработчиков к приоритизации производительности в ущерб безопасности.
🟠Обнаруженные секреты часто остаются неисправленными в течение длительного времени. 70% действующих секретов, обнаруженных в публичных репозиториях в 2022 году, остаются активными и сегодня.
🟢Менеджеры секретов не решают все проблемы — фрагментация инструментов управления секретами и небезопасная аутентификация к ним являются факторами риска. Кроме того, они обычно не управляют полным жизненным циклом учетных данных.
🟠Анализ публичных данных выявил, что значительный процент скомпрометированных токенов GitLab и GitHub обладали избыточными разрешениями. Например, 99% API-ключей GitLab имели полный доступ (58%) или доступ только для чтения (41%), а 96% токенов GitHub имели доступ на запись, причем 95% из них предоставляли полный доступ к репозиториям.

Рекомендации:
🟡Внедрение комплексной стратегии управления секретами, включающей обнаружение, предотвращение, исправление и мониторинг.
🔘Усиление безопасности инструментов для совместной работы.
🟡Обучение разработчиков безопасным практикам работы с секретами.
🔘Внедрение автоматизированных процессов ротации и отзыва секретов.
🟡Минимизация привилегий доступа для не-человеческих идентификаторов (NHIs).
🔘Использование динамических секретов вместо статических, там где это возможно.
🟡Уделять внимание безопасности образов Docker.

#nhi #secrets #sprawl #github #jira #confluence #tokens #api #password #copilot #gitlab

Бесконечно можно смотреть на три вещи: как горит огонь, как течет вода и на статистику утекших паролей👀

Компания Specops проанализировала более миллиарда учетных данных, украденных с помощью вредоносного ПО (инфостилеров), за 2024 год и выкатила аналитику по часто используемым паролям:
🟢Можно глянуть первый и второй скрины и понять, что в топах популярных паролей всё стабильно😅
Если чуть внимательнее посмотреть отчет, то можно разглядеть пароли "Pakistan"/"Pakistan@123": видимо инфостилеры хорошо потрудились в соответствующем регионе🤔
🟢По длине пароля тоже почти всё очевидно: самыми популярными стали пароли длиной в 8, 9 и 10 символов. Это может говорить о том, что в большинстве сервисов стоит ограничение на минимальную длину пароля в 8 символов, а при периодической смене пользователь добавляет 1-2 символа в конец пароля...
🟢Правда, какая разница какой длины и сложности пароль, если у тебя "живет" инфостилер?😑
Среди инфостилеров убедительное первое место занимает Redline, на который приходится почти половина всех проанализированных украденных паролей.
Здесь также стоит напомнить, что инфостилеры стали важным инструментом злоумышленников для кражи корпоративных учетных данных.

Рекомендации от авторов очевидны:
🟠Внедрение многофакторной аутентификации.
🟠Регулярное обновление ПО.
🟠Проведение регулярных аудитов и мониторинг.
🟠Использование, в первую очередь, длинных и сложных паролей в совокупности с внедрением блок-листа "слабых" паролей.
🟠Регулярное сканирование службы каталогов на наличие скомпрометированных паролей.

#password #credentials #infostealer #malware