2024年开发机密信息泄露态势报告

核心观点

• 硬编码凭证是软件世界安全事件的主要诱因，随着数字供应链的日益复杂，凭证蔓延已成为所有规模和安全态势组织的致命弱点。
• 2023年公开暴露的凭证数量翻了一番，GitHub上仅去年就检测到1280万个发生次数，同比增长28%。
• 90%的有效凭证在作者被通知后至少持续五天，这突显了代码安全中的一项重要教训：检测漏洞至关重要，但真正的挑战在于修复。
• 安全必须是软件开发生命周期（SDLC）所有阶段的共同责任，而不仅仅是专业团队的领域。

关键数据

• 2023年，4.6%的活跃存储库泄露了凭证，在67243678个活跃存储库中，有3066304个存储库泄露了凭证。
• 超过十分之一的提交者泄露了凭证，在14783667个不同的提交者中，有1749398个（11.7%）泄露了凭证。
• GitGuardian发送了1854834封无偿警报邮件，其中只有33242个凭证在5天内被撤销。
• IT部门占所有检测到的泄露的65.9%，教育部门占20%，科学与技术领域和其他行业各占7.1%。
• OpenAI API密钥泄露量同比增长12倍，成为增长最快的检测器，每月平均发生46441次。
• 漏露的密钥最有可能出现在“.env”文件中，GitGuardian扫描“.env”文件时，有54%的可能性会发现凭证。

研究结论

• 秘钥蔓延是一个普遍存在的威胁，跨越了所有行业，需要采取多层次的检测和预防策略。
• 秘钥管理工具对于维护良好的凭证卫生至关重要，但它们不能保证其使用，也可能被绕过。
• 组织应使用发现工具和有效控制来应对秘钥蔓延，包括持续评估秘钥的安全性、在整个软件开发过程中执行一致的政策以及加快事件解决速度。
• AI在秘钥检测方面具有潜力，但需要与专门的秘钥检测引擎相结合才能发挥真正的价值。
• 通过培训和意识提升、有效的流程、秘钥检测和管理相结合以及防止泄露和入侵，可以有效解决秘钥蔓延问题。