GitHub に漏れ出た内部コードを探す ~ 上場企業 3900社編 ~ - ぶるーたるごぶりん

全１回、このシリーズは今回で最後です！ TL;DR 上場企業 3900 社程に対して、すごく大雑把な「内部コード等の漏洩調査」を GitHub 上で行った 結果としては、重要度の高いものから低いものまで 10社ほどで漏洩が確認された 重要度の高いものとして、社外秘っぽそうなスプレッドシート、社員のハッシュ化パスワード(BCrypt)、 AWS Credential 等 「大雑把な」調査を行ったが、より精度の高い方法等について記事内にて触れていく 脅威インテルとか DLP みたいなエリアとかも、外部企業とかに頼るだけじゃなく「自分たちでも」頑張ってみるのがいいんだと思います GitHub Code Search ... すげえぜ！ Google Dorks ならぬ、 GitHub Dorks + GitHub Code Search でまだまだいろいろできるはず。 はじめに チャオ！ 今回は

[NOV1975]

直感的には「正式に使っていた上で漏洩する」よりも「雇われ要員が自分の利便性のため自分ローカルにクローンしたり置き場に使う」ケースのほうが危なそうなので、ちっちゃいリポジトリが意外と危ない気もする。

[BlueSkyDetector]

企業活動として正しくOSS貢献してる場合はどうなるんだろう、と思ったらちゃんと言及されてて安心した。githubでの情報漏洩への警戒は必要な一方、OSS貢献を萎縮させない方向で進んでいってほしいな。

[netnotora]

SMBC事件みたいなのを検出するにはまた工夫が要りそうな感じ

[hogeaegxa]

10年とかの昔から社内開発でGitHub使ってるっていうと、相当意識高いチームだと思うが、それでも機密公開して外から指摘されるまで気が付かず放置するような状態で使っちゃうんだな

[satoshihirai1]

よく勉強になりました。面白いですね～

[ntshackle]

GitHubをめぐる早い流れ

[field_combat]

あるやろな

[hoshiyama-jun]

cool🥶ほど

[defiant]

この記事をおすすめしました

[rjge]

“あまりにも多くの人が（会社のメールアドレスを使って）OSS 活動をしていたりします。 いい事なんです。いい事なんですが...今回の研究においては誤検知になるものばかりで大変でした” いい話

[tasukuchan]

“ ”

[dlive1]

重要度の高いものから低いものまで 10社ほどで漏洩が確認

[ytRino]

良い

[Keisuke69]

最終的に『人間静的コード解析器となり、漏洩を探す』。面白い。意外と少ない印象

[miki_bene]

着眼点が面白い

[send]

面白い。あと最後の情報が俺得すぎた

[tettekete37564]

AWS Credential は push 後 10 分くらいで悪用されるという検証が以前あったね

[ya--mada]

特定しやすいナニかを検索に使うから、艦これ提督コード持ち出し事件を検出するのは無理ちゃうかという意味か。 https://togetter.com/li/1659308

[a-know]

“GitHub Code Search ... すげえぜ！”