Ti Titari Lairotẹlẹ .env Awọn aṣiri tabi Awọn bọtini AWS si GitHub Repo ti gbogbo eniyan: Kini idi ti piparẹ faili naa ko tọju rẹ¶

Mimo mẹwa aaya lẹhin nṣiṣẹ git push origin main (tabi yiyi ibi ipamọ ikọkọ si Public) pe ifaramo rẹ pẹlu ọrọ-ọrọ kan .env faili, ohun AWS AKIA... Bọtini Wiwọle ati Bọtini Aṣiri, OpenAI/Anthropic API bọtini, Stripe kan sk_live_... ami iṣelọpọ, URI data PostgreSQL/MongoDB pẹlu ọrọ igbaniwọle, tabi ti ko parọ $HOME/.ssh/id_ed25519 bọtini ikọkọ jẹ pajawiri cybersecurity ti itaniji marun. Awọn botnets ikore adaṣe adaṣe ṣe ibo fun gbogbo eniyan nigbagbogbo ** GitHub Events Firehose (api.github.com/events*** ati ẹda oniye tuntun titari awọn iṣẹ ** laarin awọn iṣẹju 1.5 si 4 ti rẹ git push ipari ***. Buru, o fẹrẹ jẹ pe gbogbo idagbasoke ti ijaaya ṣe aṣiṣe apaniyan kanna gangan: wọn paarẹ .env faili tibile, fi .env si .gitignore, ati Titari iṣẹ keji ti akole "remove .env" tabi "oops". ** Titari iṣẹ keji ti o paarẹ .env ko fi nkan pamọ ***: Aṣiri itele naa wa ni ida ọgọrun 100 ti a le ka lailai ninu iyatọ ifaramo iṣaaju (git log -p), ati paapa ti o ba fi agbara-titari (git push --force) lori ẹka naa, adehun ti ko tọka si (dangling blob) wa ni iraye si ni gbangba nipasẹ GitHub URL taara rẹ ati awọn iwo Ibeere Fa fifa pamọ titi di mimọ ni gbangba. Ti o ba jẹ pe iwe-ẹri ti o jo ti ti lo tẹlẹ nipasẹ awọn ikọlu lati mu ransomware lọ, kọlu agbegbe DNS rẹ, tabi tii agbatọju awọsanma rẹ, kan si awọn itọsọna ẹlẹgbẹ wa lori ransomware ati idahun malware, jija orukọ ašẹ, DNS ti o ti pari, ati gbigba aaye ayelujara, ati Google Workspace tabi Microsoft 365 aṣa ašẹ abojuto titiipa. Ti jijo ẹrí ba kan aabo alaisan ile-iwosan, awọn iṣakoso ile-iṣẹ ti ara, tabi awọn amayederun fifiranṣẹ pajawiri, pe nọmba pajawiri ti agbegbe rẹ (911 ni Ilu Amẹrika ati Kanada, 112 jakejado European Union, 999 ni United Kingdom) tabi ṣayẹwo wa okeere liana ti pajawiri awọn nọmba.

Ṣe eyi ni bayi¶

1. **Yipada, parẹ, ati yiyi gbogbo aṣiri ti o han gbangba ni console olupese akọkọ - laarin awọn iṣẹju-aaya 120 akọkọ - ṣaaju ki o to jafara iṣẹ-aaya kan ṣoṣo git Awọn aṣẹ ***: Ni kete ti aṣiri kan ba kan GitHub ti gbogbo eniyan, GitLab, tabi ibi ipamọ Bitbucket fun paapaa awọn aaya 3, ** tọju bọtini yẹn bi sisun patapata ati tẹlẹ ni ọwọ awọn ikọlu adaṣe adaṣe ***. Ko si iye ti git reset --hard, git push --force, tabi pipaarẹ ibi ipamọ le nu bọtini kan kuro ni ibi ipamọ data ti bot scraper ti o ti ṣe igbasilẹ adehun rẹ tẹlẹ ni #2 keji. Wọle si AWS IAM, Stripe, OpenAI, awọn afaworanhan ibi ipamọ data, tabi awọn eto GitHub SSH ni bayi ati ** Muu ṣiṣẹ / Paarẹ / Yi bọtini naa lẹsẹkẹsẹ ***.
2. ** Ṣayẹwo owo idiyele awọsanma rẹ ati awọn akọọlẹ iṣayẹwo (AWS CloudTrail, GCP Cloud Audit Logs, Stripe Logs) fun awọn window laarin rẹ git push ati fifagilee bọtini rẹ ***: Awọn botilẹti cryptomining adaṣe lo ti jo AWS_ACCESS_KEY_ID (AKIA...Awọn iwe-ẹri laarin 30 si 90 awọn aaya lati yi awọn iṣẹlẹ GPU ti o pọju-pupọ (p4d.24xlarge / g5.48xlargekọja gbogbo awọn agbegbe AWS ti o farapamọ (ap-east-1, me-south-1, af-south-1) ki o si ṣẹda backdoor IAM awọn olumulo tabi Lambda awọn ìkọ itẹramọṣẹ ki wọn wa ninu akọọlẹ AWS rẹ paapaa lẹhin ti o paarẹ bọtini ti jo naa.
3. ** MASE Titari iṣẹju kan "Delete .env" ṣẹ - ni otitọ, titẹ "delete secret" tabi "remove password" ninu ifiranṣẹ ifarabalẹ ṣe ifamọra awọn bot scraper ti a fojusi ***: Ẹgbẹẹgbẹrun awọn iwe afọwọkọ oṣere-ihalẹ ni pataki ibeere GitHub Wa fun ifiṣẹ awọn ifiranṣẹ ti o ni ninu "remove .env", "delete key", "oops", ati "remove credentials", lẹhinna tẹ ọkan ṣẹ sẹhin ninu itan lati ji bọtini naa.
4. ** Tun gbogbo itan ibi-ipamọ Git kọ ni agbegbe ni lilo git filter-repo (tabi BFG Repo-Cleaner) lati yọ faili naa kuro tabi ṣe atunṣe okun ọrọ igbaniwọle lati gbogbo iṣẹ itan, igi, ati tag ***: git filter-branch ti wa ni idasilẹ ni ifowosi nipasẹ iṣẹ akanṣe Git; lo git filter-repo --invert-paths --path .env (lati nu faili kan lati gbogbo awọn iṣẹ) tabi git filter-repo --replace-text expressions.txt (lati rọpo awọn gbolohun ọrọ igbaniwọle kan pato pẹlu ***REMOVED*** inu awọn faili koodu laisi piparẹ awọn faili).
5. ** Fi agbara-titari gbogbo awọn ẹka ati awọn aami (git push origin --force --all), ATI nu awọn iwo ifasilẹ ti ẹgbẹ olupin GitHub kuro (dangling commits: Eyi ni aṣiri pupọ julọ awọn olupilẹṣẹ ko mọ: paapaa lẹhin ṣiṣe git filter-repo ati git push --force, ** Awọn olupin GitHub jẹ ki SHA atijọ ṣe laaye ninu kaṣe nkan wọn (git cat-file, afipamo pe ẹnikẹni ti o gbasilẹ ohun kikọ 40 ṣe SHA lati awọn iṣẹlẹ gbangba API tun le wo github.com/user/repo/commit/<OLD_SHA>. A ṣe alaye ni isalẹ bi o ṣe le wẹ awọn kaṣe ifaramọ digi lẹsẹkẹsẹ nipasẹ GitHub Support / API tabi nipa piparẹ ati atunda ibi ipamọ naa.
6. ** Fi agbegbe kan sori ẹrọ pre-commit scanner asiri (gitleaks tabi trufflehog) inu .git/hooks/pre-commit ṣaaju ki o to kọ laini koodu miiran ***: iṣẹju-aaya 10 gitleaks protect --staged ami-ifaramọ kio ṣe ayẹwo gbogbo laini ti a ṣeto ni agbegbe lori kọǹpútà alágbèéká rẹ ati awọn bulọọki git commit ṣaaju ki aṣiri le fi ẹrọ rẹ silẹ lailai.

Igi ipinnu: imudani lẹsẹkẹsẹ, yiyi, ati mimọ itan Git¶

Ṣiṣe ṣiṣiṣẹsẹhin iṣẹ yii ni ilana isọtẹlẹ ti o muna (Fagilee FIRST -> Itẹramọda Audit KEJI -> Pa itan Git kuro KẸTA):

flowchart TD
    Start["Titari Aṣiri si Repo Gbogbo eniyan (.env, AWS/GCP Key, Ọrọigbaniwọle DB, Stripe/OpenAI Key, tabi Ikọkọ SSH Aladani)"] --> Step1["MINUTE 0 TO 2 (PRIORITY #1): Fagilee/Yipo Gbogbo Kọkọrọ Ti Afihan Ni Kọnsolo Olupese Lẹsẹkẹsẹ"]

    Step1 --> SecretType{"Iru Ijẹrisi wo ni o wa Ninu Ifaramo naa?"}

    SecretType -->|"Bọtini Awọn amayederun Awọsanma (AWS AKIA, Akọọlẹ Iṣẹ GCP JSON, Azure SP)"| CloudAudit["MINUTE 2 TO 10: Ṣayẹwo CloudTrail / Awọn iforukọsilẹ iṣẹ ṣiṣe -> Fi opin si Rogue EC2/Awọn apẹẹrẹ Iṣiro ni Gbogbo Awọn agbegbe -> Paarẹ Awọn olumulo IAM Laigba aṣẹ / Awọn ipa/ Awọn ipade STS"]

    SecretType -->|"URI aaye data / Ọrọigbaniwọle (Postgres, MySQL, MongoDB, Redis, Supabase)"| DBAudit["MINUTE 2 SI 10: Yi Ọrọigbaniwọle Olumulo DB + Pa awọn isopọ Nṣiṣẹ (pg_terminate_backend) + Tii Ẹgbẹ Aabo Ogiriina Titiipa si Awọn IPs Whitelist nikan"]

    SecretType -->|"Àmi API tabi Bọtini SSH (Stripe, OpenAI, GitHub PAT, Slack, Ikọkọ SSH Aladani)"| TokenAudit["ISEJU 2 SI 10: Yiyi API Key ni Dasibodu / Yọ Bọtini SSH ti gbogbo eniyan kuro lati $HOME/.ssh/authorized_keys & Eto GitHub -> Awọn iwe-iṣayẹwo Lilo API aipẹ"]

    CloudAudit --> RepoVisibility{"MINUTE 10 SI 20: Bawo ni O Ṣe Fẹ lati Paarẹ Ibi ipamọ GitHub naa?"}
    DBAudit --> RepoVisibility
    TokenAudit --> RepoVisibility

    RepoVisibility -->|"Iyara 100% Kaṣe-Mu ese (Ko si Ọrọ pataki/Itan Irawọ lati Tọju)"| NukeRepo["1. Pa Gbogbo Ibi ipamọ lori Awọn Eto GitHub. 2. Ṣiṣe git filter-repo Ni agbegbe si Itan mimọ. 3. Ṣẹda Alabapade Repo & Titari Itan mimọ (Lẹsẹkẹsẹ run Gbogbo Awọn SHAs Cache Cache) run."]

    RepoVisibility -->|"Gbọdọ Ṣetọju Awọn irawọ Repo ti o wa tẹlẹ, Awọn ọran, PRs, & Forks"| RewriteRepo["1. Ṣiṣe git filter-repo (--invert-paths or --replace-text). 2. Ṣiṣe git titari --force --all & --tags. 3. Kan si GitHub Atilẹyin / Portal Atilẹyin lati Yọọ Dangling Commit SHA Cache"]

Ipele 1: Iṣẹju 0 si 2 - Iwe Iyanjẹ Fagilee Lẹsẹkẹsẹ nipasẹ Olupese¶

Ma ṣe ** ṣii ebute kan lati ja pẹlu git rebase lakoko ti awọn bọtini iṣelọpọ rẹ ṣi ṣiṣẹ. Tẹ taara si olupese ti o kan ni isalẹ ki o pa iwe-ẹri akọkọ:

Ipele 2: Iṣẹju 2 si 10 - Ṣiṣayẹwo Ti Awọn ikọlu naa Ti Ṣeda Ẹnu Atẹyin kan (AWS / Awọsanma)¶

Ti o ba ti jo .env faili ti o wa ninu AWS Key Access Key (AKIA...* Akọọlẹ Iṣẹ Awọsanma Google JSON**, tabi **Alakoso Iṣẹ Azure **, piparẹ bọtini ti o jo jẹ idaji ogun. O gbọdọ rii daju pe bot adaṣe kan ko lo awọn aaya 90 yẹn lati fi idi itẹramọṣẹ mulẹ ninu akọọlẹ awọsanma rẹ:

Awọn 6-Point AWS Post-Leak Forensic Audit¶

1. ** Ṣayẹwo AWS CloudTrail -> Event history fun gbogbo awọn ipe API ṣe nipasẹ awọn ti jo Access Key ID**:
2. Ṣii **AWS CloudTrail Console -> Itan iṣẹlẹ ***.
3. Yi ọna kika wiwa pada lati Ka-nikan si Access key ID ki o si lẹẹmọ awọn ti jo AKIA... okun.
4. Wo gbogbo iṣẹlẹ ti o wọle lati iṣẹju ti o nṣiṣẹ git push. Wa ni pato: CreateUser, CreateAccessKey, AttachUserPolicy, CreateRole, AssumeRole, GetSessionToken, RunInstances (EC2), RequestSpotInstances, CreateFunction (Lambda), tabi SendEmail (SES àwúrúju).
5. ** Fagilee eyikeyi igba diẹ lọwọ STS awọn akoko ti olumulo naa ṣe jade ***:
6. Paapaa lẹhin ti o pa ohun kan AKIA... wiwọle bọtini, ti o ba ti attacker ti a npe ni sts:GetSessionToken ṣaaju ki o to paarẹ bọtini naa, igba diẹ wọn ASIA... Àmi igba duro wulo fun wakati 36.
7. Lati pa gbogbo awọn ti nṣiṣe lọwọ ibùgbé STS awọn ami fun olumulo IAM yẹn lẹsẹkẹsẹ, lọ si IAM -> Users -> [Leaked User] -> Permissions -> Add inline policy ki o si tẹ Revoke sessions (eyi ti o so ohun fojuhan Deny * imulo fun eyikeyi àmi ti oniṣowo ibi ti aws:TokenIssueTime jẹ sẹyìn ju bayi.).
8. ** Ṣayẹwo IAM -> Users ati IAM -> Roles fun awọn iroyin ẹhin ti a ṣẹda tuntun ***:
9. Too gbogbo awọn olumulo IAM nipasẹ ** Akoko ẹda ***. Pa olumulo eyikeyi ti a ko mọ (admin-backup, sys-monitor, support-bot) ati rii daju Trust relationships taabu lori Awọn ipa IAM rẹ lati rii daju pe ikọlu naa ko ṣafikun ID Account AWS ti ita tiwọn ("Principal": {"AWS": "arn:aws:iam::999999999999:root"}) gege bi oluko ti o gbẹkẹle.
10. ** Lo AWS Resource Explorer tabi EC2 Global View lati ṣayẹwo GBOGBO 30+ Awọn agbegbe AWS fun awọn cryptominers ti o farapamọ ***:
11. Awọn ikọlu ṣọwọn ṣe ifilọlẹ awọn iṣẹlẹ cryptomining ni us-east-1 nibi ti o ti yoo ri wọn lori rẹ Dasibodu. Dipo, wọn ṣe ifilọlẹ p4d, g5, tabi c6i.32xlarge awọn iṣẹlẹ ni ap-southeast-3 (Jakarta),me-central-1 (UAE),il-central-1 (Tel Aviv)****sa-east-1 (São Paulo).
12. Ṣii EC2 Console -> EC2 Global View (eyiti o ṣe ayẹwo gbogbo agbegbe ti o ṣiṣẹ ni tabili kan) ati ** fopin si ** eyikeyi awọn ọran laigba aṣẹ lẹsẹkẹsẹ.
13. ** Ṣii Ẹran Ìdíyelé Atilẹyin AWS lẹsẹkẹsẹ ti awọn ọran rogue ba pari owo kan ***:
14. Ti o ba ti a bot yiri soke $8,000 ti awọn iṣẹlẹ EC2 GPU ṣaaju ki o to fopin si wọn, ** maṣe bẹru ***: ni kete ti o ba ti ni ifipamo akọọlẹ naa, paarẹ bọtini naa, mu ṣiṣẹ root/IAM MFA, ti o si yọ bọtini kuro lati GitHub, ṣii ** AWS Account ati Ọran Atilẹyin Isanwo *** n ṣalaye titari GitHub lairotẹlẹ ati awọn igbesẹ atunṣe rẹ. AWS nigbagbogbo funni ni kirẹditi idariji ìdíyelé ifẹ ọkan-akoko kan ** fun awọn n jo bọtini GitHub lairotẹlẹ ni kete ti ẹgbẹ aabo wọn rii daju pe ibi ipamọ naa jẹ mimọ.

Ipele 3: Kini idi ti Npaarẹ Faili naa ni Ifaramọ Tuntun kuna - ati Bii o ṣe le Tun Itan-akọọlẹ Daadaa pẹlu git filter-repo¶

1. Kí nìdí git rm .env && git commit -m "delete .env" jẹ asan patapata¶

Git jẹ eto faili ti a le koju akoonu-nikan-afikun (Directed Acyclic Graph / DAG ti awọn iṣẹ, awọn igi, ati awọn nkan blob): - Ṣebi ** Ṣe adehun A1B2C3** kun .env (Blob 998877). - Ṣebi awọn iṣẹju 2 lẹhinna o ṣiṣe git rm .env, fi kun .env si .gitignore, ati titari ** Ifaramo D4E5F6. - Lakoko ti ẹnikan ti n lọ kiri lori atokọ faili * lọwọlọwọ * lori oju-iwe akọọkan GitHub rẹ kii yoo rii .env, ** Ṣe adehun A1B2C3 ati Blob 998877 jẹ ṣi 100 ogorun apakan ti ibi ipamọ. Ẹnikẹni ti o ba nṣiṣẹ git clone gbigba lati ayelujara Blob 998877, Ẹnikẹni ti o ba tẹ taabu "Ṣiṣẹ" lori GitHub le tẹ A1B2C3 lati ka rẹ .env faili ni ọrọ itele, ati awọn irinṣẹ adaṣe (trufflehog git https://github.com/user/repo) Ṣe ọlọjẹ gbogbo iṣẹ itan kan ni iṣẹju meji 2.

2. Igbesẹ-nipasẹ-Igbese: Paarẹ Faili kan tabi Okun Aṣiri Kọja gbogbo Itan-akọọlẹ Lilo git filter-repo¶

Ise agbese Git ati GitHub ṣe iṣeduro ni ifowosi git-filter-repo (eyiti o rọpo o lọra, aṣiṣe-prone git filter-branch ati ki o jẹ ani diẹ rọ ju BFG Repo-Cleaner).

1. ** Fi sori ẹrọ git-filter-repo** (O gba iṣẹju-aaya 5):

   # On macOS (Homebrew):
   brew install git-filter-repo
   
   # On Linux / Windows (via pip / apt):
   pip3 install git-filter-repo
   

2. ** Ṣe ẹda afẹyinti aabo ti folda ibi ipamọ agbegbe rẹ ṣaaju ṣiṣe atunkọ itan-akọọlẹ ***:

   cp -r $HOME/projects/my-repo $HOME/projects/my-repo-backup
   cd $HOME/projects/my-repo
   

3. (Akiyesi: Ti o ba ti gbe iwulo rẹ tẹlẹ .env faili jade, rii daju a mọ daakọ ti .env ti wa ni fipamọ ni /tmp/.env.safe ita repo, nitori git filter-repo yoo mu ese .env lati inu itọsọna iṣẹ rẹ paapaa.)*
4. Yan Aṣayan A (Pa Gbogbo Ọna Faili kan bi .env tabi id_rsa) TABI Aṣayan B (Ṣatunkọ Awọn okun Aṣiri Kan pato Ninu Awọn faili koodu):
5. **Aṣayan A: yọkuro patapata .env (tabi config/secrets.json) lati gbogbo iṣẹ ninu itan-akọọlẹ ***:

   git filter-repo --invert-paths --path .env --force
   

   • (Kí nìdí --invert-paths? Laisi --invert-paths, git filter-repo --path .env ntọju NIKAN .env ati ki o pa ohun gbogbo miran. Apapọ --invert-paths --path .env sọ fun Git lati tọju ohun gbogbo YATO .env kọja gbogbo awọn adehun, awọn ẹka, ati awọn aami.)*
6. ** Aṣayan B: Tọju faili koodu naa (app.py / config.js), ṣugbọn fọ okun aṣiri lile kuro ninu gbogbo ẹya itan ***: Ṣẹda faili ọrọ kan /tmp/secrets-to-scrub.txt ti o ni okun asiri kan (tabi regex) fun laini kan:

   AKIAIOSFODNN7EXAMPLE==>REDACTED_AWS_KEY
   sk_live_51NzExampleSecretKey999==>REDACTED_STRIPE_KEY
   regex:postgres:\/\/non_at_chars@==>postgres://REDACTED_DB_CREDENTIALS@
   

   Bayi ṣiṣe git filter-repo --replace-text:

   git filter-repo --replace-text /tmp/secrets-to-scrub.txt --force
   shred -u /tmp/secrets-to-scrub.txt 2>/dev/null || rm -P /tmp/secrets-to-scrub.txt
   

7. ** Fi kun .env si .gitignore nitorinaa o ko tun ṣe ni iṣẹju marun 5 lati isisiyi ***:

   echo ".env" >> .gitignore
   echo "*.pem" >> .gitignore
   git add .gitignore
   git commit -m "chore: update gitignore rules"
   

8. ** Tun-fikun latọna jijin GitHub rẹ (git filter-repo imomose yọ origin bi ayẹwo aabo) ati fi agbara mu gbogbo awọn ẹka ati awọn afi ***:

   git remote add origin git@github.com:YOUR_USERNAME/YOUR_REPO.git
   git push origin --force --all
   git push origin --force --tags
   

Ipele 4: Pakute Kaṣe GitHub Farasin (Dangling Commits) Ati Bi o ṣe le Paarẹ Rẹ¶

Eyi ni otitọ oniwadi oniwadi pataki ti a ṣe akọsilẹ ni ** Awọn iwe aṣẹ Iṣiṣẹ GitHub (* Yiyọ data ifura kuro ni ibi ipamọ kan*): - Nigbati o ba ṣiṣe git filter-repo ati git push origin --force --all, gbogbo ifaramo ninu ibi ipamọ rẹ gba ** ami iyasọtọ 40-titun SHA-1 hash , ati pe rẹ main Atọka ẹka gbe lọ si itan mimọ tuntun. - ** sibẹsibẹ, GitHub's backend Git olupin ipamọ ko ṣe gba idoti lẹsẹkẹsẹ (git gc --prune=now) atijọ, unreferenced ṣe SHA. - Iyẹn tumọ si ti bot ikọlu ba gbasilẹ hash atijọ (fun apẹẹrẹ, a1b2c3d4...) lati ita GitHub Events API nigbati o kọkọ tẹ, ** wọn tun le ṣii https://github.com/YOUR_USERNAME/YOUR_REPO/commit/a1b2c3d4... ni eyikeyi ayelujara kiri ati ki o wo rẹ .env file koda LEHIN ti o fi ipa-titari itan mimọ. Buru, ti aṣiri ba han ninu Fa Ibere, refs/pull/12/head ntọju ifaramo ti o le de ọdọ.

Bii o ṣe le pa awọn iṣẹ ṣiṣe ti o pamọ/ru lori awọn olupin GitHub ni bayi:¶

1. ** Ọna 1 (Lẹsẹkẹsẹ, 100% Pari Pari - Ti o dara julọ ti repo ko ba ni Awọn ọran pataki/PRs/Stars) ***:
2. Lọ si ibi ipamọ rẹ lori GitHub -> Settings -> Yi lọ si isalẹ (Danger Zone) -> Tẹ Delete this repository.
3. Ṣẹda ibi ipamọ tuntun-tuntun pẹlu orukọ kanna gangan lori GitHub ki o Titari mimọ rẹ git filter-repo ibi ipamọ agbegbe si (git push -u origin main).
4. Pipaarẹ ibi ipamọ lori GitHub ** Lẹsẹkẹsẹ fọ gbogbo awọn iwo oju opo wẹẹbu ti gbogbo eniyan ti awọn SHAs cache atijọ** (404 Not Found).
5. ** Ọna 2 (Titọju Awọn irawọ, Awọn ọran, ati Awọn PRs - Lilo Atilẹyin GitHub / Kaṣe Purge) ***:
6. Ni akọkọ, mu ** ohun kikọ 40 gangan SHA hash ** ti adehun atijọ ti o ni aṣiri ninu (ṣayẹwo git reflog ninu folda afẹyinti rẹ tabi awọn imeeli iwifunni GitHub rẹ).
7. Ṣii ** Atilẹyin GitHub (support.github.com)** ki o lo adaṣe adaṣe ** Yọ data ifura kuro / Pa awọn iwo ifarabalẹ kuro *** ṣiṣan iṣẹ (itọkasi URL ibi-ipamọ ati ṣiṣe SHA(s) gangan ti o rọ). GitHub Support's aládàáṣiṣẹ irinṣẹ nṣiṣẹ ohun lẹsẹkẹsẹ-ẹgbẹ olupin git gc kaṣe nu ti o sọ awọn iwo oju opo wẹẹbu cache ati awọn nkan ti ko tọka si laisi piparẹ ibi ipamọ rẹ.
8. ** Ṣe akiyesi gbogbo awọn ẹlẹgbẹ / awọn alabaṣiṣẹpọ si git clone titun (MASE git pull***:
9. Sọ fun gbogbo idagbasoke ti ẹgbẹ rẹ: ** “Maṣe ṣiṣe git pull kí o sì tì.”** Bí alábàáṣiṣẹ́pọ̀ kan tó fa ohun búburú ṣe tẹ́lẹ̀ sáré git pull (eyi ti o dapọ itan idọti atijọ pẹlu itan atunko tuntun) ati titari, ** wọn yoo Titari ti paarẹ. .env Pada ọtun pada si GitHub.** Gbogbo alabaṣiṣẹpọ gbọdọ pa folda agbegbe wọn rẹ ki o ṣiṣẹ tuntun git clone, tabi ṣiṣe git fetch origin && git reset --hard origin/main.

Ipele 5: Idilọwọ awọn jijo iwaju lailai (Gitleaks Ṣaju-Ṣiṣẹ Hook & GitHub Titari Idaabobo)¶

Gba iṣẹju 60 ni bayi lati jẹ ki o ṣee ṣe ni mathematiki ko ṣee ṣe lati ṣe aṣiri lẹẹkansi lairotẹlẹ:

1. ** Mu GitHub ṣiṣẹ ọfẹ "Push Protection for Yourself" kọja gbogbo akọọlẹ GitHub rẹ ***:
2. Lọ si ** GitHub Settings (awọn eto profaili ti ara ẹni, oke apa ọtun) -> Code security and analysis (tabi Code security)**.
3. Yi lọ si Secret scanning -> Muu ṣiṣẹ Push protection for yourself.
4. Pẹlu eyi titan, nigbakugba ti o ba ṣiṣẹ git push lati eyikeyi kọnputa si ** eyikeyi ibi ipamọ gbogbogbo tabi ikọkọ, olupin GitHub ṣe ayẹwo idii ti nwọle rẹ * ṣaaju gbigba titari: ti o ba ṣawari bọtini AWS kan, bọtini OpenAI, bọtini Stripe, bọtini SSH aladani, tabi ami Slack, ** GitHub kọ git push ọtun ninu rẹ ebute ṣaaju ki awọn ifaramo lailai lọ laaye.
5. ** Fi sori ẹrọ gitleaks bi agbegbe pre-commit so lori kọǹpútà alágbèéká rẹ ***:

   # Install gitleaks:
   brew install gitleaks   # (or download binary on Linux/Windows)
   
   # Add a pre-commit hook inside your repository (.git/hooks/pre-commit):
   cat << 'EOF' > .git/hooks/pre-commit
   # /usr/bin/env bash
   gitleaks protect --verbose --redact --staged
   if test $? -ne 0; then
     echo "COMMIT BLOCKED BY GITLEAKS: High-entropy secret or API key detected in staged changes."
     exit 1
   fi
   EOF
   chmod +x .git/hooks/pre-commit
   

Awọn nọmba pajawiri agbegbe ati awọn ilana ile-ibẹwẹ¶

Ti titari iwe eri GitHub lairotẹlẹ yori si ifọle laigba aṣẹ sinu data ti ara ẹni ti a ṣe ilana (PII / PHI), awọn eto ilera, tabi awọn amayederun ijọba, tẹle awọn ilana ifitonileti irufin dandan:

• Ilu Amẹrika ati Kanada ***:
• **Aabo Igbesi aye Pajawiri / Idinku Awọn ohun elo pataki ***: Kiakia 911 ti irufin amayederun ba kan awọn iṣẹ ile-iwosan tabi awọn iṣakoso aabo ti ara.
• ** Cybersecurity ati Aabo Aabo amayederun (CISA) & FBI (IC3: Ti awọn ikọlu ba lo awọn bọtini awọsanma ti o jo lati ṣe alaye data tabi mu malware ṣiṣẹ lọwọ, jabo si CISA (1-844-Say-CISA / cisa.gov/report ati Ile-iṣẹ Ẹdun Ilufin Ilu Ayelujara ** FBI (ic3.gov).
• **SEC, FTC, & Ifitonileti Iwifunni Idajọ Gbogbogbo ti Ipinle ***: Ti awọn igbasilẹ iwọle si data CloudTrail / data fihan pe adiresi IP laigba aṣẹ wọle si data ti ara ẹni alabara (PIItabi awọn igbasilẹ ilera (HIPAA ePHI) ṣaaju ki o to fagile bọtini ti o jo naa, kan si alagbawo ofin lẹsẹkẹsẹ nipa awọn akoko ifitonileti irufin data-ipinlẹ ati ijabọ Federal **HHS OCR / FTC Ofin Awọn Aabo **.
• ** Ile-iṣẹ Ilu Kanada fun Aabo Cyber *: Ipe 1-833-CYBER-88 (1-833-292-3788) tabi jabo awọn irufin asiri labẹ PIPEDA si ** Ọfiisi ti Komisona Asiri ti Ilu Kanada (OPC).
• ** Ijọba Gẹẹsi:
• ** Awọn iṣẹ pajawiri *: Kiakia 999 (tabi 101 / Action jegudujera 0300 123 2040 ati Ile-iṣẹ Aabo Cyber ti Orilẹ-ede / NCSC ni ncsc.gov.uk).
• ** Ọfiisi Komisona Alaye (ICO - Ferese 72-wakati UK GDPR) ***: Ti iwe-ẹri ti o jo ba gba iraye si laigba aṣẹ si data ti ara ẹni ti awọn olugbe UK, **Abala 33 ti UK GDPR *** nilo ijabọ irufin data ti ara ẹni ti o ṣe akiyesi si **ICO (0303 123 1113) laarin awọn wakati 72 *** ti di mimọ ti irufin naa.
• **European Union ***:
• ** Awọn iṣẹ pajawiri ***: Kiakia 112 kọja gbogbo awọn orilẹ-ede ọmọ ẹgbẹ EU.
• ** GDPR Abala 33 & Ijabọ Iṣẹlẹ Itọsọna NIS2 ***: Awọn ile-iṣẹ ti o wa labẹ ** EU GDPR *** gbọdọ ṣe ayẹwo boya ifihan ijẹrisi ja si irufin aṣiri ti data ti ara ẹni (ifitonileti wakati 72 si Alaṣẹ Idaabobo Data ti orilẹ-ede / DPA), lakoko ti o ṣe pataki / awọn nkan pataki labẹ ** EU NIS2 Ilana *** dojukọ akoko ipari ijabọ ikilọ-wakati 24 ** si orilẹ-ede wọn CSIRT (BSI ni Germany, ANSSI ni France, ACN ni Ilu Italia) fun awọn iṣẹlẹ cyber pataki.
• ** Australia ati Ilu Niu silandii ***:
• ** Awọn iṣẹ pajawiri ***: Kiakia 000 ni Australia tabi 111 ni Ilu Niu silandii.
• ** Ile-iṣẹ Aabo Cyber ti Ọstrelia (ACSC) & Awọn irufin data ti o ṣe akiyesi (OAIC: pe 1300 CYBER1 (1300 292 371 fun esi iṣẹlẹ, ati ṣe ayẹwo awọn adehun ifitonileti labẹ ** Ọfiisi ti Komisona Alaye ti Ọstrelia (OAICAwọn irufin data ti o ṣe akiyesi (NDBEto *** tabi Ofin Aṣiri Ilu Niu silandii 2020 (Privacy Commissioner).
• ** India ati Asia-Pacific ***:
• ** Awọn iṣẹ pajawiri ***: Kiakia 112 ni India (tabi 1930 fun cybercrime).
• **CERT-Ni dandan Itọsọna Ijabọ wakati 6 (India) : Labẹ ** Ẹgbẹ Idahun Pajawiri Kọmputa India (CERT-In awọn itọnisọna (No. 20(3)/2022-CERT-In), iraye si laigba aṣẹ si awọsanma / awọn eto IT tabi awọn n jo data ti o kan awọn ẹgbẹ ni India gbọdọ jẹ ijabọ si **incident@cert-in.org.in laarin 6 wakati ** ti erin.

Awọn ibeere ti a beere nigbagbogbo¶

Mo ti paarẹ .env faili ati Titari iṣẹ tuntun ni iṣẹju-aaya 30 lẹhin aṣiṣe mi - ṣe Mo tun nilo lati yi awọn bọtini API mi ati awọn ọrọ igbaniwọle data bi?¶

Bẹẹni, 100 ogorun - yi gbogbo bọtini ẹyọkan lẹsẹkẹsẹ laisi imukuro. Awọn ijinlẹ cybersecurity ti ile-ẹkọ ati telemetry lati GitHub Aṣiri Ṣiṣayẹwo jẹri pe awọn botilẹjẹ ikore adaṣe adaṣe ṣe abojuto ṣiṣan awọn iṣẹlẹ GitHub ti gbogbo eniyan (api.github.com/events) ni akoko gidi ati ṣe igbasilẹ awọn iṣẹ titari tuntun laarin 1,5 to 5 aaya. Buru, titari iṣẹ keji ti o paarẹ .env fi gbogbo itele .env faili ti o joko ni pipe laarin iyatọ itan itan akọkọ - ati ọpọlọpọ awọn bot ni pataki wa awọn iṣẹ ṣiṣe ti o paarẹ .env awọn faili. Ni kete ti aṣiri kan ba ti lọ si ibi ipamọ ti gbogbo eniyan fun paapaa 1 iṣẹju-aaya, o ti gbogun lailai; fifagilee ati yiyi iwe-ẹri ni dasibodu olupese nikan ni ohun ti o ṣe aabo fun ọ.

Kini ti ibi-ipamọ ba jẹ ibi ipamọ GitHub PRIVATE nigbati Mo ṣe iṣẹ naa .env faili, ati pe Mo kan fẹ lati sọ di mimọ ṣaaju ṣiṣe repo ni gbangba ni ọsẹ to nbọ?¶

Ti o ba ti ibi ipamọ wà 100 ogorun Ikọkọ ni gbogbo akoko (ko si si awọn ohun elo CI/CD ti ẹnikẹta ti ko ni igbẹkẹle ti o ni iraye si), awọn bot scraper lori ita gbangba GitHub Events API ni kii ṣe ti ri asiri rẹ sibẹsibẹ. Sibẹsibẹ, MA ṣe paarẹ nirọrun `.env` ni ifaramọ tuntun ati lẹhinna yipo repo lati Ikọkọ si gbangba. Ni akoko ti o yipada ibi ipamọ ikọkọ si gbangba, rẹ gbogbo itan ṣẹ awonya di ti gbogbo eniyan - ati awọn bot lẹsẹkẹsẹ ọlọjẹ gbogbo awọn iṣẹ atijọ ni ibi ipamọ gbangba tuntun. Ṣaaju ṣiṣe ibi ipamọ ikọkọ kan ni gbangba, boya: (1) Ṣiṣe git filter-repo --invert-paths --ona .env lati yọ faili kuro lati gbogbo awọn iṣẹ itan (ki o si yi awọn bọtini lọnakọna fun adaṣe ti o dara julọ), OR (2) Daakọ awọn faili lọwọlọwọ ti o mọ sinu folda tuntun-ọtun, ṣiṣe git init fun mimọ 1-ifaramọ itan ibẹrẹ, ati ṣe atẹjade ibi ipamọ tuntun yẹn.

Kini idi ti AWS ṣe so eto imulo kan ti a pe ni laifọwọyi AWSCompromisedKeyQuarantineV2 si olumulo IAM mi, ati kilode ti MO tun n gba owo bi?¶

Nitori awọn alabaṣepọ AWS taara pẹlu GitHub Secret Scanning, nigbakugba ti ẹya AKIA... Bọtini han ni iṣẹ GitHub ti gbogbo eniyan, eto aabo adaṣe AWS ṣe awari rẹ laarin awọn iṣẹju, ṣii tikẹti atilẹyin, ati so eto imulo iṣakoso naa pọ AWSCompromisedKeyQuarantineV2 (tabi V3) si olumulo IAM yẹn. Ilana quarantine yẹn ṣe idiwọ awọn iṣe ti o lewu ti o han bi ifilọlẹ tuntun ec2: Ṣiṣe Awọn apẹẹrẹ tabi piparẹ awọn buckets S3 - ṣugbọn ko fopin si awọn iṣẹlẹ EC2 ti ikọlu ti ṣe ifilọlẹ tẹlẹ lakoko awọn aaya 60 akọkọ ṣaaju eto imulo, tabi ko paarẹ awọn olumulo IAM ẹhin tabi igba diẹ. STS awọn akoko ikọlu ti ṣẹda tẹlẹ. O tun gbọdọ fi ọwọ pa bọtini ti o jo, ṣayẹwo EC2 Agbaye Wiwo kọja gbogbo awọn agbegbe lati fopin si awọn iṣẹlẹ rogue, ati ṣayẹwo CloudTrail fun laigba aṣẹ IAM ayipada.

Kini iyato laarin git filter-repo ati BFG Repo-Cleaner, ati kilode ti Emi ko gbọdọ lo git filter-branch?¶

git àlẹmọ-ẹka jẹ iwe afọwọkọ ikarahun atijọ ti a ṣe sinu awọn ẹya ibẹrẹ ti Git ti o lọra pupọ lori awọn ibi ipamọ nla, rọrun lati ṣatunṣe (nfi awọn atunṣe afẹyinti silẹ ni refs/atilẹba/ ti o tun ni awọn aṣiri rẹ ninu.), Ati ni bayi ṣe atẹjade ikilọ ilọkuro osise lati Git ti n sọ fun ọ pe ki o maṣe lo. Mejeeji git-filter-repo (ti a kọ ni Python ati ifọwọsi ni ifowosi nipasẹ awọn olutọju Git mojuto ati GitHub) ati BFG Repo-Cleaner (ti a kọ ni Java/Scala) ṣiṣe 10x si 100x yiyara ati atunkọ gbogbo awọn adehun, awọn igi, ati awọn afi. git-filter-repo Ayanfẹ ni gbogbogbo loni nitori pe o ṣe atunṣe paapaa ṣiṣe ayẹwo-jade lọwọlọwọ rẹ (`HEAD`) lai nilo iṣẹ alakoko lọtọ ni akọkọ.

Bawo ni ẹnikan tun le wo ifarapa mi ti paarẹ lori GitHub lẹhin Mo ti sare git filter-repo ati git push --force?¶

Ni Git, `git push --force` nikan imudojuiwọn awọn atọka itọkasi ẹka (`refs/heads/main`) lati ntoka si titun rẹ tunkọ ṣẹ pq; o ṣe kii ṣe Lẹsẹkẹsẹ paarẹ atijọ ti a ko tọka si (“dangling”) ṣe awọn nkan ti o fipamọ sori awọn olupin ẹhin GitHub. Ti bot kan ba ṣe igbasilẹ awọn ohun kikọ 40-40 SHA hash ti ipilẹṣẹ atilẹba rẹ nigbati o lu API Awọn iṣẹlẹ gbangba, lilọ kiri taara si https://github.com/owner/repo/commit/<40-char-SHA> yoo si tun fifuye ti orukan ṣe lati GitHub ká ohun kaṣe titi ikojọpọ idoti gbalaye. Lati nuki wiwo cache yẹn lẹsẹkẹsẹ, boya pa ibi ipamọ kuro lori GitHub ki o tun ṣe lati ibi ipamọ agbegbe ti o mọ, tabi fi awọn purpili ṣẹ SHA to Atilẹyin GitHub (`support.github.com`) fun ohun lẹsẹkẹsẹ kaṣe-ẹgbẹ olupin wẹ.

Kini ti ẹnikan ba tẹ “Fork” tẹlẹ lori ibi ipamọ gbogbo eniyan ṣaaju ki Mo to sare git filter-repo?¶

Eyi ni idi Igbesẹ 1 nigbagbogbo n fagile ati yiyi awọn iwe-ẹri ni dasibodu olupese: nṣiṣẹ git àlẹmọ-repo ati titari-titari si ibi ipamọ tirẹ KO rewrite ṣẹ inu elomiran ominira orita ti ibi ipamọ rẹ (ayafi ti o ba pa gbogbo ibi ipamọ obi rẹ rẹ ati kan si Atilẹyin GitHub nipa data ifura ni orita). Ni kete ti o ba ti fagilee awọn bọtini AWS/API ati yiyi awọn ọrọ igbaniwọle data, eyikeyi ẹda ti atijọ .env faili ti o joko inu orita ẹni-kẹta tabi data data bot di oku, okun ti ko wulo ti awọn kikọ ti ko le wọle si awọn amayederun rẹ mọ.

Jẹmọ awọn itọsọna¶

• Ransomware ati malware: imunimọ lẹsẹkẹsẹ ati imularada
• Ifijiṣẹ orukọ agbegbe, DNS ti pari, ati gbigba aaye ayelujara
• Google Workspace tabi Microsoft 365 tiipa abojuto agbegbe aṣa ati igbala DNS
• Aṣiri-ararẹ ati awọn akọọlẹ ti o gbogun: titiipa pajawiri
• Lairotẹlẹ rm -rf tabi Shift-Paarẹ lori Lainos, macOS, tabi Windows: atungbeka kika-nikan lẹsẹkẹsẹ
• Awọn nọmba pajawiri nipasẹ orilẹ-ede

Awọn orisun ati osise itoni¶

• Iwe Aabo Oṣiṣẹ GitHub (docs.github.com/en/authentication/keeping-your-account-and-data-secure/removing-sensitive-data-from-a-repository): * Yiyọ Data Ifarabalẹ Lati Ibi ipamọ kan (git filter-repo, BFG Repo-Cleaner, Dangling Commit Cache Purging, ati Aṣiri Ṣiṣayẹwo Titari Titari)*.
• Awọn iṣẹ Ayelujara Amazon (AWSItọsọna Idahun Iṣẹlẹ Aabo (docs.aws.amazon.com/security/): * Ndahun si Awọn bọtini Wiwọle AWS IAM ti Afihan (AWSCompromisedKeyQuarantineV2, Fagilee Igba die STS Awọn akoko nipasẹ aws:TokenIssueTime, ati CloudTrail Ayẹwo oniwadi)*.
• National Institute of Standards and Technology (NIST) (United States): Itẹjade pataki 800-61 Ìṣí 800-57: Iṣeduro fun Iṣakoso Koko (Ifagilee Ijẹrisi Ijẹri ti o bajẹ ati Yiyi Yiyi Cryptographic).
• Ṣii Eto Aabo Ohun elo Ayelujara (OWASP): * Iwe Iyanjẹ Iṣakoso Awọn Aṣiri (Idilọwọ Awọn iwe-ẹri Hardcoded, Ṣiṣayẹwo Aṣiri Ṣaju-tẹlẹ pẹlu Gitleaks/TruffleHog, ati Ephemeral Runtime Secret Abẹrẹ)*.
• Aabo Cyber ati Ile-iṣẹ Aabo Awọn amayederun (CISA) (Amẹrika): *Itọkasi Itọkasi Imọ-ẹrọ Aabo Awọsanma ati Iwe-iṣere Atunse Atunse Ijẹri *.