ハッカーより先に漏えいした秘密をつかめ

シークレット検出は、公開されたAPIキー、パスワード、トークン、認証情報をコードからスキャンします。漏洩したシークレットは、攻撃者にシステムへの直接アクセスを与え、データ漏洩やコストのかかるクラウドの悪用につながる可能性があります。レポ内の単一のAWSキーでさえ悪用される可能性があります。シークレットスキャンは、これらの問題がプッシュまたはマージされる前にキャッチするのに役立ち、不正アクセスからインフラを保護します。

Aikido 、既知のシークレットパターンとハイエントロピー文字列のためにあなたのコードと設定ファイルをスキャンします。APIキー、トークン、プライベートキー、DBクレジットなどを検出します。パターンマッチング、エントロピー分析、検証ロジックを使用して、誤報を最小限に抑えながら本当の秘密を特定します。暴露されると危険なほど機密性の高いものにフラグを立てます。

デフォルトでは、Aikido 現在のコードをスキャンしますが、Git の全履歴をスキャンして、古いコミットで公開された秘密を検出することもできます。履歴スキャンはオプションで設定可能で、追加や削除が行われたにもかかわらずレポジトリの履歴からアクセス可能な秘密を検出するのに最適です。

Aikido CIパイプラインに統合し、検出されたシークレットでビルドやPRをブロックすることができます。また、開発中にリアルタイムでフィードバックするためのIDE拡張やコミット前フックもサポートしています。これにより、シークレットが本番ブランチに到達する前に、シークレットの検出が自動的に行われます。

Aikido 誤検知を減らすように最適化されている。既知の公開鍵（Stripeの公開鍵など）にフラグを立てることを避け、テスト値やランダムなデータをフィルタリングします。可能な限り、アラートを発する前に秘密の有効性を検証するため、得られる結果は適切で実用的です。

無視ルール、パターン、注釈を追加して、Aikido 既知のテスト値にフラグを立てないようにすることができます。また、ダッシュボードで所見を「修正しない」または「安全」とマークすることもできます。このチューニングは、アラートの疲労を軽減し、フラグを立てる対象をコントロールするのに役立ちます。

Aikido 直ちに警告を発し、コミットやビルドをブロックすることができる（CIに統合されている場合）。ファイル、行、キータイプを表示し、秘密の取り消しを推奨する。Aikido 鍵を直接失効させるわけではないが、アクティブな認証情報をハイライトし、次に何をすべきかをガイドしてくれる。

Aikido GitGuardian/Gitleaksと同等の検知品質を提供するが、シークレットスキャンをより広範なセキュリティプラットフォームに統合する。文脈に沿ったトリアージでノイズを減らし、コード、クラウド、IaC、シークレットにまたがるアラートを一元化する。すべてのリスクに1つのツールで対応できるため、複数のプラットフォームを使いこなす必要がありません。

コード、YAML、JSON、.envファイル、Terraform、コミットメッセージなど、すべてのテキストファイルをスキャンします。秘密は設定やマニフェストの中に隠れていることが多いので、Aikido それらがどこに現れても偶発的なリークをキャッチするためにそれらをすべてチェックします。

Aikido GitHubのスキャンとフックを、より広いカバレッジ（マルチプラットフォーム対応）、一元化されたアラート、より深いコンテキストで補完します。開発者のセットアップに依存することなく、誤検知を減らし、フックがバイパスされたとしても、すべてのレポジトリの秘密をキャッチします。フックを迂回した場合でも、すべてのリポジトリで秘密をキャッチします。