שילוב בין GitGuardian ל-Wiz: חשיפת סודות דולפים במקום אחד

⁦TL⁩;⁦DR⁩

• האינטגרציה החדשה ⁦GitGuardian Wiz⁩: ל-GitGuardian יש כעת אינטגרציה עם ⁦Wiz⁩.

• סנכרון יומי: פעם ביום, ⁦GitGuardian⁩ שולח אירועים סודיים גלויים מ-⁦GitHub⁩, ⁦GitLab⁩, ⁦Bitbucket⁩, ו-⁦Azure DevOps⁩ אל ⁦Wiz⁩ כממצאים סודיים מקוריים.

• ההקשר המלא: כל ממצא נושא את המאגר, הקובץ, ההתחייבות, הגלאי, התוקף והחומרה, בתוספת קישור חזרה לאירוע ב-⁦GitGuardian⁩.

• הסוד נשאר פרטי: הערך הסודי לעולם לא עוזב את ⁦GitGuardian⁩. Wiz מקבל רק hash ומטא נתונים.

בחברות רבות, צוות אבטחת הענן עובד ב-Wiz וצוות ה-AppSec עובד ב-GitGuardian. Wiz הוא המקום שבו מתבצע תעדוף של סיכוני ענן וממנו מגיע הדיווח עבור ה-CISO. GitGuardian הוא המקום שבו סודות שדלפו מזוהים ומטופלים. עד כה, שני הצוותים כמעט ולא הסתכלו על אותם הדברים. כך למשל, אדם שהסתכל על משאב ענן חשוף ב-Wiz לא יכול היה לדעת שה-AWS key עבור אותו חשבון נדחף (committed) למאגר פרטי לפני שמונה חודשים ועדיין פעיל.

האינטגרציה הזו סוגרת את הפער הזה. GitGuardian שולחת כעת את הממצאים הסודיים שלה ישירות ל-Wiz, כך שאישורים שדלפו מוצגים לצד סיכוני הענן והזהויות שאליהם הם קשורים. כעת, שני הצוותים מסתכלים על אותו מפתח שדלף, כל אחד בכלי העבודה הקבוע שלו.

מדוע סודות שייכים לצד סיכון הענן שלך

תוקפים לא צריכים לפרוץ אם הם יכולים פשוט להיכנס. לפי ה-Verizon 2026 Data Breach Investigations Report, אישורים שנחשפו היו הטכניקה הנפוצה ביותר בשרשראות תקיפה שהובילו לפרצות מלאות, והופיעו ב-39% מהן. בנוסף, סודות שדלפו לא נעלמים מעצמם: מבין האישורים ש-GitGuardian זיהתה כתקפים בשנת 2022, יותר מ-64% עדיין עבדו בינואר 2026 (State of Secrets Sprawl 2026).

Wiz מצטיינת בהצגת הקשרים בין משאבי ענן ובזיהוי הבעיות הדחופות ביותר. GitGuardian מצטיינת במציאת סודות בקוד, במחשבים ניידים של מפתחים, בכלי שיתוף פעולה ובמקורות ציבוריים, בבדיקה האם הם עדיין פעילים ובסיוע לצוותים בתיקונם. לקוחות המשתמשים גם ב-GitGuardian וגם ב-Wiz שאלו שוב ושוב: למה אני צריך שני מסכים כדי לראות בעיה אחת?

מה ⁦GitGuardian⁩ שולח אל ⁦Wiz⁩

עבור כל אירוע סודי גלוי במאגר מחובר, ⁦Wiz⁩ מקבל ממצא אחד עם:

• המאגר, נתיב הקובץ וה-commit שבו נמצא הסוד.

• הגלאי (detector) שזיהה את הסוד (ל-GitGuardian יש למעלה מ-550 גלאים כאלה).

• האם הסוד עדיין תקף ומתי בוצעה הבדיקה האחרונה, כך ש-Wiz יכולה לתעדף מפתחות שעדיין פעילים על פני מחרוזות שנראות רק כמו מפתח.

• חומרת האירוע ב-GitGuardian, ממופה לרמת חומרה ב-Wiz.

• קישור חזרה לתקרית המלאה ב-⁦GitGuardian⁩.

אם סוד מופיע מספר פעמים באותו מאגר, ⁦Wiz⁩ מקבל את ההתרחשות האחרונה. ההיסטוריה המלאה נשארת ב-⁦GitGuardian⁩.

הסוד עצמו לעולם אינו עוזב ⁦GitGuardian⁩. Wiz מקבל גיבוב ⁦SHA-256⁩ של הערך והמטא נתונים שלמעלה, לא יותר.

איך עובד הסנכרון

פעם ביום, GitGuardian שולחת ל-Wiz את הרשימה המלאה של אירועים פתוחים (שזוהו או הוקצו) עבור כל מקור מחובר. Wiz שומרת על ממצא פתוח כל עוד הוא מופיע בעדכון האחרון. כאשר הצוות שלך פותר תקרית ב-GitGuardian או מתעלם ממנה, היא מוסרת בסנכרון הבא ו-Wiz מסירה את הממצא.

רוב דרגות החומרה ממופות ישירות. עבור שתי דרגות שאין להן מקבילה ב-Wiz, באפשרותך לקבוע את המיפוי בעצמך.

אתה יכול לשנות זאת בכל עת, וזה ייכנס לתוקף בסנכרון הבא.

מה אתה מקבל על ידי שמירה על ⁦GitGuardian⁩ בלולאה

Wiz מראה לך היכן סוד שדלף נמצא בתמונת סיכוני הענן שלך. סריקת הסודות של GitGuardian מוצאת אותו, מוכיחה אם הוא עדיין פעיל ומסייעת בתיקון. המשמעות היא גישה ליותר מ-550 גלאים עם בדיקות תוקף, זרימות עבודה לתיקון (כמו קיבוץ אירועים דומים ו-playbooks), ומניעה בזמן אמת בעת ה-commit באמצעות ggshield, כך שפחות סודות מגיעים לקוד ולנכסים אחרים מלכתחילה. כל ממצא ב-Wiz מקשר ישירות לאירוע ב-GitGuardian, כך שהמעבר מ'צריך לבדוק את זה' ל'הבעיה תוקנה' מתבצע בלחיצה אחת.

GitGuardian מכסה גם מקומות מחוץ למאגרים שלך, כמו ⁦Slack⁩, ⁦Jira⁩, ⁦Confluence⁩, ומכונות מפתחים. הממצאים האלה נשארים ב-⁦GitGuardian⁩, מכיוון שהשילוב שולח רק תקריות ממקורות בקרת גרסאות.

כיצד להגדיר את השילוב ⁦GitGuardian Wiz⁩

תזדקק למשתמש ב-Wiz בעל הרשאות להוספת אינטגרציות. אין צורך ליצור service account מראש, כיוון שהאינטגרציה של GitGuardian ב-Wiz תיצור אחד כזה עבורך.

• ב-Wiz, פתח את דף האינטגרציה של GitGuardian. Wiz תספק לך Client ID, Client secret, Authentication URL ו-API endpoint URL.

• ב-⁦GitGuardian⁩, עבור אל ⁦Settings⁩ > ⁦Integrations⁩ > ⁦Wiz⁩ ולחץ על ⁦Configure⁩ .

• הדבק את ארבעת הערכים ובחר כיצד למפות דרגות ⁦Info and Unknown⁩.

הממצאים הראשונים שלך מופיעים בעוד ⁦Wiz⁩ תוך 24 שעות. אתה יכול להשהות או לחדש את הסנכרון מאותו דף הגדרות בכל עת.

טיפ: התחל את התהליך מדף האינטגרציה של GitGuardian בתוך Wiz, במקום ליצור אסימון (token) בעצמך בהגדרות Wiz. אסימון שתצור באופן ידני לא יחזיק בהרשאות הדרושות לסנכרון.

הפרטים המלאים נמצאים במסמכי השילוב ⁦GitGuardian Wiz⁩.

טוב לדעת

• מציאת ממצאים חדשים ב-Wiz עשויה לקחת עד 24 שעות, וממצאים שנפתרו עשויים להישאר מוצגים עד 7 ימים.

• ייתכן שחלק מהממצאים ידלגו בתחילה. אם Wiz עדיין לא תומכת בגלאי מסוים של GitGuardian, הממצאים ממנו ימתינו עד ש-Wiz תוסיף תמיכה. תהליך זה לוקח בדרך כלל כמה ימים ומתעדכן אוטומטית.

• גלאים מותאמים אישית (Custom detectors) ו-Gerrit אינם נתמכים, וממצאים ללא נתיב קובץ נדלגים.

נסה את זה

אם אתה כבר משתמש ב-GitGuardian וב-Wiz, תוכל לחבר ביניהם תוך דקות ספורות. אם אתה משתמש ב-Wiz וברצונך לראות מה מסתתר במאגרים שלך, תאם הדגמה ונציג לך את שניהם יחד.

⁦FAQ⁩

כֵּן. השילוב של ⁦GitGuardian Wiz⁩ שולח אירועים סודיים גלויים ממקורות בקרת הגרסאות שלך אל ⁦Wiz⁩ פעם ביום כממצאים סודיים מקוריים. כל ממצא מקשר חזרה לאירוע ב-⁦GitGuardian⁩.

לא. הערך הסודי לעולם אינו עוזב ⁦GitGuardian⁩. Wiz מקבל גיבוב ⁦SHA-256⁩ של הערך בתוספת מטא נתונים: מאגר, קובץ, התחייבות, גלאי, תוקף וחומרה.

רק מקורות בקרת גרסאות: GitHub, GitLab, Bitbucket ו-Azure DevOps. ממצאים מ-Slack, Jira, Confluence וממכונות מפתחים נשארים ב-GitGuardian. גלאים מותאמים אישית (Custom detectors) ו-Gerrit אינם נתמכים.

פעם ביום. ממצאים חדשים עשויים להימשך עד 24 שעות להופיע ב-⁦Wiz⁩, והממצאים שנפתרו יכולים להישאר גלויים עד שבעה ימים.

אבטחת שכבת אישורים היא יותר מזיהוי. עקוב אחר אישור אחד דרך פלטפורמת ⁦GitGuardian⁩, מגילוי על פני מאגרים, ⁦CI/CD⁩, מחשבים ניידים וכספות ועד להקשר של בעלים וגישה, תיקון בטוח ומניעה.

⁦Dwayne McDaniel⁩

חוקרי GitGuardian איתרו 44 אשכולות Kubernetes פעילים באמצעות סודות שדלפו, כאשר 30% מהם היו חשופים במשך יותר משנתיים. הנה כיצד ה-OWASP Kubernetes Top 10 מסביר את סיכוני האבטחה הללו, ומדוע K03 (Secrets Management Failures) הופך דליפה בודדת לשרשרת פריצה.

⁦Dwayne McDaniel⁩

חוקרים הצליחו לחלץ מפתחות API אמיתיים שדלפו מתוך שלושה מודלי LLM באמצעות פלט API בלבד. להלן האופן שבו סוכני AI מעבירים סודות ממחשבים ניידים של מפתחים אל תוך ההקשר של המודל, וכיצד לעצור אותם לפני שהמודל נחשף אליהם.

⁦Dwayne McDaniel⁩

המוצר הראשון ש-GitGuardian הוציאה אי פעם היה אזהרה בחינם. כעת אנחנו מוודאים שהיא תישמע.

⁦Eric Fourrier⁩