漏洩シークレットスキャナー

継続的に監視しますか？myeventwatch で無料監視——期限切れとダウンタイムのアラート、カード不要。

公開とみなされるもの — みなされないもの

スキャナーは、公開された既知パスのリスト——/.env とその一般的な変種、/.git/HEAD と /.git/config、設定ファイル、バックアップアーカイブ、キーファイル——を、攻撃者や検索エンジン、好奇心旺盛な訪問者でも送れるのとまったく同じ、通常の公開 GET リクエストで探ります。パスが公開とみなされるのは、応答内容がそのファイル本来の姿と一致する場合だけです。env ファイルはキーと値の行として解析できなければならず、Git の HEAD は Git 参照らしくなければなりません。多くのサーバーはあらゆるパスに 200 を返します——シングルページアプリのフォールバック、カスタムエラーページ、キャッチオールのリライトなど——そしてトップページの HTML が入った 200 は漏洩ではありません。そうしたパスは結果の中で応答したが未確認として別に列挙され、ご自身で判断できます。このツールが未確認の 200 を漏洩と呼ぶことは決してありませんし、あなたが使うどのスキャナーもそうすべきではありません。

ファイルの探査に加えて、スキャナーはページ自体と最大で約15個の JavaScript バンドルを取得し、既知のシークレットの形を探します。クラウドアクセスキー ID、秘密鍵ヘッダー、一般的な API キーやトークンの代入、データベース接続文字列などの信号の強いパターンです。クライアント側のコードは定義上公開です——ブラウザに送られたものはすべての訪問者が読めます——そのため、ファイルの設定ミスがなくても、バンドル内で見つかった本物の認証情報は公開されています。発見は種類、ソースファイル、出現回数ごとに報告され、値は先頭最大4文字までにマスクされます。どのキーかを見分けるには十分ですが、レポートの読者がそれを使うには決して不十分です。完全なシークレットがこのレポートに取得、保存、表示されることは決してありません。

限界を、はっきりと

これは既知パスに対する公開の読み取り専用プローブであり、その限界は結果の一部です。探るのは公開リスト上のパスだけで、珍しい名前のファイルにあるシークレットは見つかりません。スキャンするのはランディングページと約15個のスクリプトバンドルであり、大規模サイトのすべてのアセットではありません。ログインはせず、認証の向こう側をクロールせず、ファイル名を総当たりせず、未認証 GET でそもそも届かないものはテストしません。スキャンは訪問者あたり1時間に5回に制限され、結果は10分間キャッシュされるため、その時間内の再スキャンではキャッシュされた判定が表示される場合があります。スキャンには時間予算もあります。遅いターゲットがそれを使い切ると、結果は部分とマークされ、その旨が明記されます。部分的なクリーン結果は「クリーン」ではなく「完全には確認できていない」と扱ってください。

スキャンで何か見つかった場合、削除の速さよりも作業の順序が重要です。まず認証情報をローテーションしてください——公開されたキーを失効させ、新しいものを発行します——コピーはすでにキャッシュ、アーカイブ、他人の手に渡っている可能性があるためです。ファイルを削除しても新しいダウンロードが止まるだけで、すでに出てしまったキーには何の効果もありません。その後、サーバーでファイルを削除するかパスをブロックし、コピーを保持している可能性のある CDN やプロキシのキャッシュを消去し、同じパスへの過去の取得がないかアクセスログを確認してください。関連記事公開された .env ファイルと漏洩キーでは、攻撃者が使う最初の1時間の手順と、完全な復旧手順を順番にたどります。

隣接するチェックで全体像が完成します。サードパーティスクリプト監査はページが読み込む外部スクリプトを対象とし——それは自分のファイルの漏洩とは別のサプライチェーンリスクです——、セキュリティヘッダーチェックは応答が備えるブラウザ保護を評価します。手法についての注意：クリーンな結果とは、スキャン時点にチェッカーのネットワーク位置から見て、探ったパスのどれも一致する内容で応答せず、スキャンしたファイルに既知のシークレットパターンが現れなかったという意味です。それはそれらのパスとファイルについての証拠であり、サーバー全体の保証ではありません。そもそもファイルをウェブルートの外に置き、サーバーが公開する内容に触れるデプロイ変更のたびに再スキャンしてください。

公開されたプローブリスト

よくある質問