Best Practices zum Verhindern von Datenlecks in deiner Organisation

Über diesen Leitfaden

Als Organisationsbesitzer*in sollte die Verhinderung der Offenlegung privater oder vertraulicher Daten oberste Priorität haben. Ob absichtlich oder versehentlich, Datenlecks können erhebliche Risiken für die beteiligten Parteien darstellen. Während GitHub Maßnahmen ergreift, um Sie vor Datenlecks zu schützen, sind Sie auch dafür verantwortlich, Ihre Organisation zur Erhöhung der Sicherheit zu verwalten.

Es gibt mehrere Schlüsselkomponenten, wenn es um die Abwehr von Datenlecks geht:

• Proaktives Vorgehen bei der Prävention
• Frühzeitige Erkennung möglicher Lecks
• Verwalten von vorbeugenden Maßnahmen, wenn ein Vorfall auftritt

Der beste Ansatz hängt von der Art der Organisation ab, die du verwaltest. Beispielsweise erfordert eine Organisation, die sich auf Open-Source-Entwicklung konzentriert, möglicherweise eine lockerere Steuerung als eine vollständig kommerzielle Organisation, um eine externe Zusammenarbeit zu ermöglichen. Dieser Artikel enthält allgemeine Anleitungen zu den GitHub zu berücksichtigenden Features und Einstellungen, die Sie entsprechend Ihren Anforderungen implementieren sollten.

Sichere Konten

Schütze die Repositorys und Einstellungen deiner Organisation, indem du bewährte Sicherheitsmethoden implementierst, z. B. durch Aktivieren und Erzwingen von 2FA für alle Mitglieder sowie durch Einrichten von Richtlinien für sichere Kennwörter.

• Fordern Sie Organisationsmitglieder, externe Mitarbeiter und Abrechnungsmanager auf, 2FA für ihre persönlichen Konten zu aktivieren, was es böswilligen Akteuren erschwert, auf die Repositorys und Einstellungen einer Organisation zuzugreifen. Weitere Informationen finden Sie unter Erfordern der zweistufigen Authentifizierung in deiner Organisation.

• Ermutigen Sie Ihre Benutzer, sichere Kennwörter zu erstellen und entsprechend zu schützen, indem Sie den empfohlenen Kennwortrichtlinien folgen GitHub. Weitere Informationen finden Sie unter Ein sicheres Passwort erstellen.

• Einrichtung einer internen Sicherheitsrichtlinie in GitHub, damit Benutzer die geeigneten Schritte kennen und wer kontaktieren muss, wenn ein Vorfall vermutet wird. Weitere Informationen finden Sie unter Hinzufügen einer Sicherheitsrichtlinie für dein Repository.

Weitere Informationen zum Sichern von Konten finden Sie unter Bewährte Methoden zum Schützen von Konten.

Verhindern von Datenlecks

Als Organisationsbesitzer*in solltest du den Zugriff entsprechend dem Typ deiner Organisation einschränken und überprüfen. Berücksichtige die folgenden Einstellungen für eine striktere Kontrolle:

Empfehlung	Mehr Informationen
Deaktiviere die Möglichkeit, Repositorys zu forken.

          [AUTOTITLE](/repositories/managing-your-repositorys-settings-and-features/managing-repository-settings/managing-the-forking-policy-for-your-repository)

Deaktivieren Sie die Änderungsmöglichkeit für die Repositorysichtbarkeit. | Einschränken von Änderungen der Sichtbarkeit von Repositorys in deiner Organisation Beschränke die Repositoryerstellung auf „Privat“ oder „Intern“. |
Einschränken der Repositoryerstellung in deiner Organisation Deaktiviere das Löschen und Übertragen von Repositorys. | Berechtigungen zum Löschen oder Übertragen von Repositorys festlegen | | Beschränken Sie personal access token auf die minimal erforderlichen Berechtigungen. | Nichts Schütze deinen Code, indem du öffentliche Repositorys bei Bedarf in private konvertierst. Sie können die Repositorybesitzer über diese Änderung automatisch mithilfe einer GitHub App benachrichtigen. | Prevent-Public-Repos in GitHub Marketplace Bestätige die Identität deiner Organisation, indem du deine Domäne überprüfst und E-Mail-Benachrichtigungen nur auf überprüfte E-Mail-Domänen beschränkst. | Überprüfen oder Genehmigen einer Domäne für deine Organisation und Einschränken von E-Mail-Benachrichtigungen für deine Organisation Verhindere, dass Mitwirkende versehentlich Commits durchführen. | Entfernen vertraulicher Daten aus einem Repository

Erkennen von Datenlecks

Unabhängig davon, wie gut Sie Ihre Organisation absichern, um Datenlecks zu verhindern, können dennoch einige auftreten, und Sie können darauf reagieren, indem Sie secret scanning, das Überwachungsprotokoll, und die Verzweigungsschutzregeln nutzen.

          secret scanning verwenden

          Secret scanning trägt dazu bei, Code zu sichern und Geheimnisse in allen Organisationen und Repositories zu schützen, indem Geheimnisse gescannt und erkannt werden, die versehentlich über den vollständigen Git-Verlauf jeder Verzweigung in GitHub-Repositories eingepflegt wurden. Alle Zeichenfolgen, die mit Mustern von Ihnen oder Ihrer Organisation bereitgestellt werden, werden als Warnungen auf der Registerkarte **"Sicherheit** " von Repositorys gemeldet.





          Ihr Site-Administrator muss für Ihre Instanz secret scanning aktivieren, bevor Sie dieses Feature verwenden können. Weitere Informationen finden Sie unter [AUTOTITLE](/admin/code-security/managing-github-advanced-security-for-your-enterprise/configuring-secret-scanning-for-your-appliance).

Weitere Informationen zu secret scanning findest du unter Informationen zur Geheimnisüberprüfung.

          Du kannst secret scanning auch als Pushschutz für ein Repository oder eine Organisation aktivieren. Wenn du dieses Feature aktivierst, verhindert secret scanning, dass Mitwirkende Code mit einem erkannten Geheimnis pushen. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/secret-scanning/protecting-pushes-with-secret-scanning). Schließlich kannst du die Erkennung auch erweitern, um benutzerdefinierte Zeichenfolgenstrukturen von Geheimnissen einzuschließen. Weitere Informationen finden Sie unter [AUTOTITLE](/code-security/secret-scanning/using-advanced-secret-scanning-and-push-protection-features/custom-patterns/defining-custom-patterns-for-secret-scanning).

Überprüfen des Auditprotokolls deiner Organisation

Du kannst IP-Adressen proaktiv schützen und die Compliance für deine Organisation sicherstellen, indem du das Überwachungsprotokoll deiner Organisation zusammen mit der Überwachungsprotokoll-API von GraphQL nutzt. Weitere Informationen findest du unter Auditprotokoll deiner Organisation überprüfen und Schnittstellen.

Einrichten von Branchschutzregeln

Um sicherzustellen, dass der gesamte Code ordnungsgemäß überprüft wird, bevor er mit dem Standardbranch zusammengeführt wird, kannst du den Branchschutz aktivieren. Durch Festlegen von Branchschutzregeln kannst du bestimmte Workflows oder Anforderungen erzwingen, bevor eine Mitwirkender Änderungen pushen kann. Weitere Informationen finden Sie unter Informationen zu geschützten Branches.

Alternativ zu den Regeln zum Schutz von Verzweigungen oder zum Schutz von Tags können Sie auch Regelsätze erstellen. Regelsätze haben einige Vorteile gegenüber branch und tag Schutzregeln, wie z.B. Status und bessere Auffindbarkeit ohne Admin-Zugang. Sie können auch mehrere Regelsätze gleichzeitig anwenden. Weitere Informationen finden Sie unter Informationen zu Regelsätzen.

Minimieren von Datenlecks

Wenn ein Benutzer vertrauliche Daten überträgt, bitte ihn, diese mithilfe des git filter-repo-Tools zu entfernen. Weitere Informationen finden Sie unter Entfernen vertraulicher Daten aus einem Repository. Wenn die vertraulichen Daten noch nicht pusht wurden, können Sie diese Änderungen einfach lokal rückgängigmachen. weitere Informationen finden Sie unter the GitHub Blog (beachten Sie jedoch, dass es keine gültige Möglichkeit ist, git revert das Hinzufügen vertraulicher Daten rückgängig zu machen, da der ursprüngliche vertrauliche Commit im Git-Verlauf verlassen wird).

Wenn du dich nicht direkt mit demder Repositorybesitzerin abstimmen kannst, um Daten zu entfernen, von denen du sicher sind, dass du derdie Besitzerin bist, kannst du ein DMCA-Benachrichtigungsformular ausfüllen und den GitHub-Support informieren. Vergessen Sie nicht, die problematischen Commit-Hashes mit einzubeziehen. Weitere Informationen findest du unter DMCA Takedown-Mitteilung.

Nächste Schritte

•         [AUTOTITLE](/code-security/supply-chain-security/end-to-end-supply-chain/securing-code)
  

•         [AUTOTITLE](/code-security/supply-chain-security/end-to-end-supply-chain/securing-builds)