はじめに

こんにちは。ACS 事業部の田中です。

前回の記事では GitHub Advanced Security（GHAS）の Code scanning に焦点を当てました。
今回は Secret Protection を有効化して、シークレットスキャンを実施してみます。

シークレットスキャンは、リポジトリ内のコミットを分析し、シークレット（API キー、パスワード、トークンなどの機密情報）を自動的に検出してくれる機能です。
ハードコーディングされたシークレット（＝潜在的なセキュリティリスク）を発見し対処することで、より安全にアプリケーションを開発することができます。

Secret Protection を有効化する

※ リポジトリは前回の記事と同じものを利用しています。

リポジトリのメインページで [ Setting ] タブを開き、サイドバーの [ Security ] セクションで [ Advanced Security ] をクリックします。

[Secret Protection] の右側にある [ Enaled ] をクリックし、ダイアログの内容を確認して [ Enable Secret Protection ] を選択します。

Secret Protection を有効化すると、さらに各機能の有効化が可能になります。
今回はシークレットスキャンに関連する次の機能の [ Enable ] を選択しました。

Validity checks：検出したシークレットがどのパートナー（サービスプロバイダ）が発行したものかを特定し、シークレットの状態（有効/無効か、権限範囲など）を照会する。
Non-provider patterns：特定のパートナーのシークレットとして定義されていないパターンのシークレットを検出する。
Scan for generic passwords：ハードコーディングされた、推測しやすくセキュリティ強度の低いパスワード（"admin"、"1234"など）や認証情報を検出する。