GitHub und GitLab liefern neue Funktionen, um die Sicherheit ihrer Verzeichnisdienste zu erhöhen.
Die beiden Software-Plattformen GitHub und GitLab haben neue Sicherheitsfunktionen und -pakete vorgesellt: GitHub Secret Protection, GitHub Code Security und GitLab Open Source Security Hub.
Immer wieder kommt es zu Sicherheitsvorfällen bei den Verzeichnisdiensten, sodass diese stetig ihre Sicherheitsvorkehrungen verstärken. Für GitHub-Profis sind Secret Protection und Code Security im Prinzip nichts Neues, denn zusammen bilden beide Bausteine die altbekannte Sicherheits-Suite GitHub Advanced Security (GHAS) ab. Deren Verfügbarkeit wird nun aber neu geregelt.
Das mit monatlich 49 US-Dollar abgerechnete GHAS stand bislang nur bei GitHub Enterprise oder den Microsoft Azure DevOps-Tarifen zur Auswahl. Um GHAS für Teams aller Größen besser zugänglich zu machen, verteilt GitHub die Funktionen auf die Einzelpakete Secret Protection (monatlich 19 US-Dollar) und Code Security (monatlich 30 US-Dollar). Wer beide braucht, zahlt nicht mehr als bisher. Die neuen Bausteine lassen sich ab dem 1. April 2025 unabhängig voneinander buchen und stehen erstmals auch für GitHub Team zur Verfügung.
GitHub Secret Protection hilft dabei, das Durchsickern von Geheimnissen wie Passwörtern oder API-Schlüsseln zu verhindern, und setzt dazu unter anderem eine KI-gestützte Erkennung, anpassbare Scan-Muster und eine Benachrichtigungsfunktion ein. Mit künstlicher Intelligenz bewaffnet, macht sich auch Code Security ans Werk. Dieses Paket setzt auf Copilot Autofix, um Sicherheitslücken im Programmcode sowie in Pull-Requests aufzuspüren und zu beheben.
Schon live: GitLab mit neuem Sicherheits-Center
Im GitLab Open Source Security Hub finden sich diverse Sicherheitswerkzeuge, die Anwenderinnen und Anwender in ihre Projekte integrieren können. Der Software-Hub startet mit drei Arten von Tools: den StORM Templates, dem GUARD Framework und dem GitLab CIS Benchmark Scanner.
Die StORM-Templates (Security Operational Risk Management Templates) ermöglichen es, die Risiko-Verfolgung und -Berichterstattung zu standardisieren. Das GUARD-Framework (GitLab Universal Automated Response and Detection Framework) arbeitet nach dem Detection-as-Code-Ansatz, um Sicherheitsrisiken automatisiert zu erkennen und zu behandeln.
Das Python-CLI-Tool GitLab CIS Benchmark Scanner überprüft ein GitLab-Projekt anhand des GitLab-Benchmarks des Center for Internet Security (CIS) und gibt anschließend Sicherheitsempfehlungen aus, die als YAML-formatierter Code vorliegen. Erhältlich ist der Scanner über pypi oder über die entsprechende Release-Website.
Installiert wird der GitLab CIS Benchmark Scanner mit pip install gitlabcis. Die Kommandozeilen-Syntax für einen Scan lautet gitlabcis URL OPTIONEN und sieht zum Beispiel so aus:
Alle Kommandozeilen-Optionen für den GitLab CIS Benchmark Scanner finden sich in der gitlabcis-Dokumentation.