自動化安全掃描與漏洞檢查 - 使用 Dependabot 和 GitHub Actions

《山河頌》：「外賊易擋，家賊難防」套件的漏洞常常難以發現，還好有 Dependabot 可以定期檢查。

自動化的安全掃描可以幫助我們及時發現並修補漏洞，從而提高應用程序的安全性。本文將介紹如何使用 GitHub 的 Dependabot 來自動檢查依賴的安全性，並使用 GitHub Actions 檢查是否洩漏 secrets。

今日範例程式：https://github.com/Edit-Mr/2024-GitHub-Actions/tree/main/25

使用 Dependabot 進行依賴安全性檢查

設定 Dependabot

Dependabot 是 GitHub 的一個工具，可以自動檢查和更新你的依賴項。它能夠定期掃描你的依賴項並向你報告漏洞，並且可以自動提交更新以修補已知的安全漏洞。

啟用 Dependabot
1. 進入你的 GitHub repository 頁面。
2. 點擊 Settings。
3. 在左側選擇 Security & analysis。
4. 在 Dependabot 部分，啟用 Dependabot alerts 和 Dependabot security updates。

配置 Dependabot

建立一個 .github/dependabot.yml 文件來配置 Dependabot 的行為。以下是一個基本配置的例子：

        version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/" # 根目錄
    schedule:
      interval: "daily" # 每天檢查更新
  - package-ecosystem: "pip"
    directory: "/" # 根目錄
    schedule:
      interval: "weekly" # 每周檢查更新
      

package-ecosystem: 指定使用的包管理器（如 npm、pip 等）。
directory: 指定依賴項所在的目錄。
schedule: 指定檢查更新的頻率。

查看 Dependabot 警報

Dependabot 會在 GitHub 的 Security 標籤頁面下顯示依賴安全性警報。當檢測到安全漏洞時，它會建立拉取請求以更新相關依賴。

使用 GitHub Actions 檢查 secrets 洩漏

我們可以使用 git-secrets 這個套件來檢查程式碼中是否存在 secrets 的洩漏。這有助於確保我們的程式庫不會意外地包含敏感訊息，例如 API 密鑰、憑證等。

配置 GitHub Actions 工作流程

建立工作流程文件

在 .github/workflows 目錄下建立 check-secrets.yml 文件，並加入以下內容：

        name: Check Secrets

on:
  push:
    branches:
      - main
  pull_request:

jobs:
  check-secrets:
    runs-on: ubuntu-latest

    steps:
      - name: Checkout code
        uses: actions/checkout@v3

      - name: Set up Node.js
        uses: actions/setup-node@v3
        with:
          node-version: "20"

      - name: Install Git Secrets
        run: |
          sudo apt-get install git-secrets

      - name: Scan for secrets
        run: git secrets --scan
      

解釋:

Install Git Secrets：安裝 git-secrets 工具，用於檢查程式中的 secrets。
Scan for secrets：運行 git-secrets 檢查程式庫中的敏感訊息。

安裝 Git Secrets

你需要在本地安裝 git-secrets 工具來進行檢查。使用以下命令安裝：
1
2
brew install git-secrets
或者，使用以下命令在 Ubuntu 上安裝：
1
2
sudo apt-get install git-secrets
然後，初始化 git-secrets：
1
2
git secrets --install
你可以配置 git-secrets 以檢查常見的密鑰模式，例如 AWS 密鑰或其他 API 密鑰。