リアルタイムシークレット検出

Live Secret Detection 機能では、露出したシークレットがまだ有効かどうかを確認し、潜在的なリスクを評価します。結果に応じて、問題の重大度が上がるか下がるかします。

ユースケース

識別と検証

Aikido は露出したシークレットを安全なエンドポイントに送信し、まだ有効かどうかを確認します。そのため、ログに Aikido から来た IP が表示される場合があります。以下は Aikido の IP 一覧です:

権限を評価する

Aikido はさらに一歩進んで、有効なシークレットの権限も確認します。それに基づいて、重大度の引き上げにおいて追加の区別を行います。以下を確認します。

プロバイダーごとに異なるチェックを行います（例: GitHub Access Token、Sendgrid トークンなど）。確認してほしいシークレットがある場合はご連絡ください。

テストファイル、モックデータ、サンプル設定を除外することで誤検知を最小限に抑えるよう努めていますが、それでも正当なシークレットに見えるものが誤ってフラグ付けされることがあります。これは、特定のパターンをプログラムで見分けることが不可能だからです。

ドキュメントやコメント内のシークレット例 開発者は、実際のシークレットとまったく同じパターンに一致するサンプルの API キーを、コードコメントやドキュメントに含めることがあります:

どちらも同じ形式に従っているため、検証なしにどちらが本物かをパターン認識で判断することはできません。

無効化またはローテーション済みのシークレット Live Secret Detection は、シークレットがまだ有効かどうかを確認することでこれらを減らすのに役立ちますが、検証が不可能な例外的なケースもあります。

テスト環境のシークレット テスト環境専用で使用され、プロダクションのパターンには一致するものの、実際のセキュリティリスクはないシークレットです。

誤検知に遭遇した場合: