Невероятное увеличение не человеческих идентификаторов, таких как служебные аккаунты, микросервисы и агентства искусственного интеллекта, быстро расширяет поверхность атаки и создает существенные проблемы в管理 инфраструктуры.
В 2024 году на GitHub зафиксировано утечек 23,77 миллиона новых секретов, что на 25% превышает показатели предыдущего года. Такой скачок напрямую связан с ростом использования машинных идентификаторов.
В среде DevOps учетные данные для автоматизированных процессов, в том числе API-ключи и данные сервисных аккаунтов для Kubernetes, уже перевешивают учетные записи реальных пользователей в соотношении не менее 45:1, что резко увеличивает зону потенциальных уязвимостей.
Приватные репозитории выявляются в восьми раз более склонными к хранению секретов, чем публичные. При этом 74,4% утечек в приватных пространствах приходятся на обычные секреты, из которых 24% составляют пароли, в то время как в публичных репозиториях эти показатели составляют 58% и 9% соответственно. Ключевые корпоративные учетные данные, например AWS IAM ключи, присутствуют в 8% приватных репозиториев против 1,5% для публичных.
Инструменты искусственного интеллекта, такие как GitHub Copilot, способствуют повышению производительности, но одновременно увеличивают риск утечек секретов на 40% в сравнении с репозиториями, где подобные инструменты не используются, что приводит к неосторожной вставке учетных данных.
Анализ контейнерных образов показал, что 97% валидных секретов располагаются исключительно в слоях образов, причем большинство таких слоев объемом меньше 15 МБ. Инструкция ENV оказалась источником 65% всех утечек, что выявляет критический пробел в безопасности контейнеризированных приложений.
Утечки секретов фиксируются не только в исходном коде, но и на платформах для совместной работы, таких как Slack, Jira и Confluence. При этом 38% инцидентов в этих системах классифицируются как критичные, по сравнению с 31% в системах управления кодом, а лишь 7% секретов повторяются с основным кодом, указывая на сложности контроля в межотраслевом использовании платформ.
Для преодоления проблемы утечки секретов необходимо интегрированное решение, охватывающее весь жизненный цикл секретов, с объединением автоматизированного обнаружения и быстрого устранения уязвимостей. Несмотря на общий уровень утечек в 1% в 2024 году, экспоненциальное увеличение машинных идентификаторов требует отказа от реактивного подхода в пользу стратегической, многогранной защиты.
Изображение носит иллюстративный характер
В 2024 году на GitHub зафиксировано утечек 23,77 миллиона новых секретов, что на 25% превышает показатели предыдущего года. Такой скачок напрямую связан с ростом использования машинных идентификаторов.
В среде DevOps учетные данные для автоматизированных процессов, в том числе API-ключи и данные сервисных аккаунтов для Kubernetes, уже перевешивают учетные записи реальных пользователей в соотношении не менее 45:1, что резко увеличивает зону потенциальных уязвимостей.
Приватные репозитории выявляются в восьми раз более склонными к хранению секретов, чем публичные. При этом 74,4% утечек в приватных пространствах приходятся на обычные секреты, из которых 24% составляют пароли, в то время как в публичных репозиториях эти показатели составляют 58% и 9% соответственно. Ключевые корпоративные учетные данные, например AWS IAM ключи, присутствуют в 8% приватных репозиториев против 1,5% для публичных.
Инструменты искусственного интеллекта, такие как GitHub Copilot, способствуют повышению производительности, но одновременно увеличивают риск утечек секретов на 40% в сравнении с репозиториями, где подобные инструменты не используются, что приводит к неосторожной вставке учетных данных.
Анализ контейнерных образов показал, что 97% валидных секретов располагаются исключительно в слоях образов, причем большинство таких слоев объемом меньше 15 МБ. Инструкция ENV оказалась источником 65% всех утечек, что выявляет критический пробел в безопасности контейнеризированных приложений.
Утечки секретов фиксируются не только в исходном коде, но и на платформах для совместной работы, таких как Slack, Jira и Confluence. При этом 38% инцидентов в этих системах классифицируются как критичные, по сравнению с 31% в системах управления кодом, а лишь 7% секретов повторяются с основным кодом, указывая на сложности контроля в межотраслевом использовании платформ.
Для преодоления проблемы утечки секретов необходимо интегрированное решение, охватывающее весь жизненный цикл секретов, с объединением автоматизированного обнаружения и быстрого устранения уязвимостей. Несмотря на общий уровень утечек в 1% в 2024 году, экспоненциальное увеличение машинных идентификаторов требует отказа от реактивного подхода в пользу стратегической, многогранной защиты.
