安全运营团队通常忙于处理恶意软件，网络钓鱼和DDoS攻击。但是，在IT领域中有一个地方，尽管存在数据泄漏，声誉损失和竞争优势丧失的风险，但许多安全运营团队仍未给予足够的监督。 GitHub是一个超级流行的源代码管理平台。公司和个人正在使用GitHub来存储和管理源代码，以保持软件开发项目的顺利进行。 GitHub凭借其实用的功能和用户友好的界面已跃升为全球最大的代码存储库的位置，现在它托管了超过8000万个源代码存储库。 Facebook，Google和Microsoft的一些重要软件项目也使用GitHub。 GitHub无疑是一个成功的故事。为什么安全运营团队需要更多关注？这是因为GitHub非常受欢迎，并且该公司的研发团队很可能会在GitHub上放置一些项目。但是过去几年的事实证明，某些开发人员随意使用GitHub的习惯会带来严重的安全风险。即使开发人员遵循最佳实践并使用诸如ForTIfy之类的源代码分析工具来检查提交的源代码中是否存在安全漏洞，这些风险仍然存在。粗心的安全操作本身就已经足够危险。当黑客将注意力集中在这个松散管理的系统上时，风险就更大了。黑客选择GitHub的原因有很多：1.源代码存储在GitHub上的软件是一种宝贵的知识产权。复制这些代码可以使其他公司甚至民族国家迅速开发派生应用程序，节省数年甚至数十年的研发时间，或者使用其他人的商业秘密而无需支付版权费。黑客还可以窃取源代码并将其转售到黑暗的网络上。 2.攻击方法的源代码可以为黑客提供在生产环境中攻击软件的想法。窃取源代码可以使他们有时间研究和发现漏洞，这比通过渗透要简单得多。他们甚至可以在生产环境中运行代码并尝试进行攻击，不断完善攻击，并提高攻击速度，隐蔽性和有效性。 3.登录凭证提交给GitHub的代码和支持文件有时会偶然包含用于登录其他服务（例如登录AWS）的凭证。黑客获得这些代码后，还可以访问相关服务，并有机会窃取更多数据并破坏操作。 4.未经授权访问开发人员通常有权使用个人电子邮件帐户登录公司代码库。这些帐户是漏洞，尤其是在开发人员离开之后。此外，开发人员手中的权限通常属于公司的所有代码库，而不仅仅是他们负责的项目，这留下了巨大的攻击接口。 5.缺乏对内部人员威胁的主动监视可能会使恶意内部人员很容易隐藏异常行为。开发人员访问数十个代码库是内部威胁的迹象，因此应检测并标记这种行为。当2016年托管在GitHub上的Uber源代码存储库被渗透时，黑客窃取的部分窃取是登录凭据。攻击者不仅获得了先进的知识产权；而且他们还挖出了包含700万个Uber驱动程序和5000万个客户个人信息的AWS凭证。此个人数据包括姓名，地址，驾驶执照等信息。 2.应对GitHub带来的安全威胁。幸运的是，安全运营团队可以采取一些实际措施来加强公司GitHub代码库的安全性。例如：1.清理登录凭证，以提醒开发人员注意其GitHub登录凭证。只有参与该项目的开发人员才能访问该项目。当开发人员离开项目时，证书应被吊销。 2.重复检查代码库GitHub背后的软件-软件版本控制程序Git，该程序最初用于管理Linux内核的开发。无论Git还是GitHub，它们都广泛用于开源项目中。一些开发人员，尤其是那些开源项目的开发人员，基本上将所有GitHub代码存储库都视为公开的，而不管该项目是否真正开源。最好再次检查公司的GitHub配置，以确保项目访问权限超出了要求的范围。 3.不要在公共代码中混用秘密，以提醒开发人员不要在代码，GitHub项目介绍页面或其他GitHub内容中混入登录凭据和其他高度敏感的信息。