Seminar Secret Scanning – Gitleaks und sichere Entwicklungsprozesse

Secret Scanning soll versehentliche Veröffentlichungen früh erkennen und die Bearbeitung eines Befunds auslösen. Das Seminar richtet dafür einen überschaubaren, wiederholbaren Prüfprozess ein. Gitleaks wird auf vorbereitete Repositories und Dateien angewendet; die Ergebnisse werden nach Echtheit, Gültigkeit und Zuständigkeit eingeordnet. Die Übungsdaten enthalten ausschließlich künstliche Testwerte.

Die Erkennung wird sowohl am Arbeitsplatz als auch in einer Pipeline verankert. Fehlalarme werden präzise behandelt, damit großflächige Ausnahmen keine unbemerkten Lücken erzeugen. Ein erkannter Wert gilt erst dann als bearbeitet, wenn sein Status am ausgebenden System geklärt ist. Das Entfernen einer Zeichenfolge aus einem aktuellen Commit allein macht ein tatsächlich offengelegtes Zugangsmittel nicht ungültig.

Inhaltsübersicht

• Prüfumfang und Erkennungsgrenzen
• Gitleaks anwenden und abstimmen
• Entwicklungsprozess und Befundbearbeitung
• Praktische Übungen
• Schulungsumgebung

Seminarinhalte

Prüfumfang und Erkennungsgrenzen

• Arbeitsverzeichnis, Commit-Historie und relevante Artefakte als unterschiedliche Prüfbereiche festlegen.
• Musterbasierte Erkennung, Entropie und projektspezifische Kennzeichnungen einordnen.
• Nicht erkannte oder nicht lesbare Daten und die Grenzen eines unauffälligen Scan-Ergebnisses berücksichtigen.

Gitleaks anwenden und abstimmen

• Git-, Datei- und Standardeingabe-Modus anhand geeigneter Testfälle einsetzen.
• Befunde mit maskierten Ausgaben auswerten und Berichte geschützt behandeln.
• Eigene Regeln, eng begrenzte Ausnahmen und Baselines mit Zuständigkeit dokumentieren.

Entwicklungsprozess und Befundbearbeitung

• Lokale Pre-Commit-Prüfung und serverseitige CI-Prüfung miteinander verbinden.
• Eine fehlgeschlagene Prüfung mit einer nachvollziehbaren Bearbeitung verbinden.
• Sperrung, Austausch des Testzugangs und erneuten Scan als getrennte Schritte ausführen.

Praktische Übungen

1. Ein vorbereitetes Repository einschließlich seiner Historie mit Gitleaks prüfen.
2. Eine Testkonfiguration außerhalb von Git gesondert untersuchen.
3. Einen echten Übungsbefund von einem absichtlich eingebauten Fehlalarm unterscheiden.
4. Eine eng begrenzte Regel beziehungsweise Ausnahme erstellen und mit Gegenbeispielen testen.
5. Eine Pre-Commit- und CI-Prüfung ausführen und einen fehlerhaften Commit kontrolliert stoppen.
6. Den simulierten Zugang sperren, einen Ersatz hinterlegen und die Nachprüfung dokumentieren.

Schulungsumgebung

Verwendet werden Git, Gitleaks, eine vorbereitete CI-Pipeline und ein Repository mit künstlichen Leak-Szenarien. Die lokale Prüfung bleibt auch ohne Konto bei einem Cloud-Scanner durchführbar.