**BOSTON, SUA, 11 martie 2025/CyberNewsWire/--**GitGuardian, liderul securității din spatele celei mai instalate aplicații GitHub, a lansat astăzi „Raportul de extindere a secretelor din 2025”, dezvăluind o criză de securitate larg răspândită și persistentă care amenință organizațiile de toate dimensiunile. Raportul expune o creștere cu 25% a secretelor scurse de la an la an, cu 23,8 milioane de noi acreditări detectate pe GitHub public numai în 2024. Cel mai îngrijorător pentru liderii securității întreprinderilor: 70% dintre secretele scurse în 2022 rămân active astăzi, creând o suprafață de atac în expansiune care devine mai periculoasă cu fiecare zi care trece. „Explozia secretelor scurse reprezintă una dintre cele mai semnificative și totuși subestimate amenințări în domeniul securității cibernetice”, a declarat Eric Fourrier, CEO al GitGuardian. „Spre deosebire de exploatările sofisticate zero-day, atacatorii nu au nevoie de abilități avansate pentru a exploata aceste vulnerabilități – doar o singură acreditare expusă poate oferi acces nerestricționat la sistemele critice și la date sensibile.” Eric Fourrier indică încălcarea Departamentului Trezoreriei SUA din 2024 ca avertisment: „O singură cheie API scursă de la BeyondTrust a permis atacatorilor să se infiltreze astfel de sisteme guvernamentale. caz simplu al unei acreditări expuse care a ocolit milioane de investiții în securitate.” Constatări cheie pentru liderii de securitate Raportul identifică câteva tendințe critice care necesită atenție imediată: The Blind Spot: Secrete generice În ciuda faptului că Push Protection de la GitHub îi ajută pe dezvoltatori să detecteze modele secrete cunoscute, secretele generice, inclusiv parolele codificate, acreditările bazei de date și jetoanele de autentificare personalizate, reprezintă acum mai mult de jumătate din toate scurgerile detectate. Aceste acreditări nu au modele standardizate, ceea ce le face aproape imposibil de detectat cu instrumentele convenționale. Depozitele private: un fals sentiment de securitate Analiza dezvăluie un adevăr uimitor: 35% din toate depozitele private scanate conțineau cel puțin un secret în text simplu, spulberând presupunerea comună că arhivele private sunt sigure: Cheile AWS IAM au apărut în text simplu în 8,17% dintre depozitele private — de peste 5 ori mai frecvent decât în cele publice (1,45%) Parolele generice au apărut de aproape 3 ori mai des în depozitele private (24,1%) comparativ cu cele publice (8,94%) Acreditările MongoDB au fost tipul secret cel mai frecvent scurs în depozitele publice (18,84%) „Secretele scurse în depozitele private de coduri trebuie tratate ca fiind compromise”, a subliniat Eric Fourrier. „Echipele de securitate trebuie să recunoască faptul că secretele ar trebui tratate ca date sensibile, indiferent de locul în care se află”. Dincolo de cod: secretele se răspândesc în SDLC Secretele codificate sunt peste tot, dar mai ales în punctele moarte de securitate, cum ar fi platformele de colaborare și mediile de containere, unde controalele de securitate sunt de obicei mai slabe: Slack: 2,4% dintre canalele din spațiile de lucru analizate au conținut secrete scurse Jira: 6,1% dintre bilete au expus acreditările, ceea ce îl face cel mai vulnerabil instrument de colaborare DockerHub: 98% dintre secretele detectate au fost încorporate exclusiv în straturi de imagine, cu peste 7.000 de chei AWS valide expuse în prezent Criza de identitate non-umană Identitățile non-umane (NHIs) – inclusiv cheile API, conturile de serviciu și jetoanele de automatizare – depășesc acum cu mult identitățile umane în majoritatea organizațiilor. Cu toate acestea, acestor acreditări le lipsește adesea managementul și rotația corespunzătoare a ciclului de viață, creând vulnerabilități persistente. Un lider de securitate la o companie Fortune 500 a recunoscut această provocare: „Ne propunem să schimbăm secretele anual, dar aplicarea legii este dificilă în mediul nostru. Unele acreditări au rămas neschimbate de ani de zile”. Manageri de secrete: nu este un răspuns complet Chiar și organizațiile care folosesc soluții de gestionare a secretelor rămân vulnerabile. Un studiu asupra a 2.584 de depozite care folosesc manageri de secrete a dezvăluit o rată de scurgere a secretelor de 5,1% — departe de aproape zero pe care îl anticipăm. Aceasta depășește media generală GitHub de 4,6%. Problemele comune includ: Secrete extrase de la managerii de secrete și codificate în altă parte Autentificare nesigură pentru managerii de secrete care expun acreditările de acces Guvernare fragmentată din cauza extinderii secretelor în mai mulți manageri de secrete Calea de urmat: securitate cuprinzătoare a secretelor Pe măsură ce codul generat de AI, automatizarea și dezvoltarea nativă în cloud se accelerează, raportul estimează că extinderea secretelor se va intensifica. Deși Push Protection de la GitHub a redus unele scurgeri, lasă lacune semnificative, în special cu secretele generice, depozitele private și instrumentele de colaborare. „Pentru CISO și liderii de securitate, obiectivul nu este doar detectarea, ci este remedierea acestor vulnerabilități înainte de a fi exploatate”, a spus Eric Fourrier. „Acest lucru necesită o abordare cuprinzătoare care să includă descoperirea automată, detectarea, remedierea și o guvernare mai puternică a secretelor pe toate platformele de întreprindere.” Raportul se încheie cu un cadru strategic pentru organizații pentru a aborda extinderea secretelor prin: Implementarea monitorizării acreditărilor expuse în toate mediile Implementarea centralizată a detectării și remedierii secretelor Stabilirea politicilor de rotație semi-automatizate pentru toate acreditările Crearea unor reguli clare pentru dezvoltatori pentru utilizarea securizată a seifului Pentru a citi raportul complet al expansiunii privind starea secretelor din 2025, utilizatorii pot vizita . GitGuardian.com Resurse suplimentare GitGuardian - Site web The State of Secrets Sprawl 2025 Despre GitGuardian este o platformă de securitate NHI end-to-end care dă putere organizațiilor bazate pe software să își îmbunătățească securitatea Identității Non-Umane (NHI) și să respecte standardele din industrie. Cu atacatorii care vizează tot mai mult NHI-uri, cum ar fi conturile de serviciu și aplicațiile, GitGuardian integrează Secrets Security și NHI Governance. GitGuardian Această abordare dublă permite detectarea secretelor compromise în mediile dumneavoastră de dezvoltare, gestionând în același timp identitățile non-umane și ciclurile de viață ale secretelor acestora. Platforma este cea mai instalată aplicație GitHub din lume și acceptă peste 450 de tipuri de secrete, oferă monitorizare publică a datelor scurse și implementează honeytoken-uri pentru apărare suplimentară. Cu încredere de peste 600.000 de dezvoltatori, GitGuardian este alegerea organizațiilor de top precum Snowflake, ING, BASF și Bouygues Telecom pentru o protecție solidă a secretelor. Contact Contact media Holly Hagerman Connect Marketing hollyh@connectmarketing.com +1(801) 373-7888 Această poveste a fost distribuită ca lansare de Cybernewswire în cadrul programului HackerNoon Business Blogging. Aflați mai multe despre program Aici
