Secrets Scanning SOC
Auditoria Zero-Trust do seu código-fonte e histórico de commits.
| Data e Hora (UTC) | Repositório | Tipo de Ação | Resultado do Escaneamento |
|---|---|---|---|
| Nenhuma varredura realizada ainda. | |||
O que faz: O motor vasculha o código-fonte em busca de chaves de API esquecidas (AWS, Google Cloud, Stripe, Mercado Pago), tokens de autenticação privada, credenciais de banco de dados e certificados SSL commitados por engano.
Varredura no Histórico (Git Log): Hackers usam robôs para ler commits antigos. Mesmo que você delete a chave em um commit recente, ela permanece visível no histórico do repositório. Nossa auditoria inspeciona todo o passado de commits para garantir que nenhum segredo residual continue exposto.
Como começar: Conecte sua conta do GitHub na aba "Integração GitHub App", selecione a branch desejada e clique em "Escanear Agora". Em poucos segundos você terá o laudo forense completo com indicação de arquivos, linhas e severidade.
Conexão GitHub App
Gerencie as contas e organizações vinculadas ao motor Karman.
Aqui estão os repositórios que a Karman tem permissão para auditar. O código é baixado, analisado em memória e deletado instantaneamente.
| Nome do Repositório | Branch a Auditar | Última Varredura | Ações |
|---|
Conexão Segura: Ao clicar em "Conectar Nova Conta", você autoriza nosso GitHub App oficial. O motor clona o repositório em uma sandbox isolada de memória RAM, executa a análise e deleta os arquivos instantaneamente (Zero-Retention).
Seleção de Branch: Escolha a branch produtiva (geralmente main ou master) ou branches de homologação (develop, staging) no menu seletor e clique em "Escanear Agora". O status será atualizado em tempo real.
Vincular Novo GitHub
Instale o Karman App em uma nova conta ou organização para importar seus repositórios.
Conectar Nova ContaIntegração Zero Trust (CI/CD)
O modelo de segurança extrema exigido por Bancos e Fintechs.
Em vez de autorizar o app da Karman a ler seus repositórios, fornecemos nossa Imagem Docker Oficial do Scanner. Você roda a imagem dentro da sua própria esteira (GitHub Actions/GitLab CI). O código fonte nunca sai do seu servidor, nós recebemos apenas o JSON com os vazamentos detectados.
1. Token de Integração Karman
Utilize este token nas secrets do seu repositório.
2. Insira no seu Pipeline (ex: .github/workflows/scan.yml)
on: [push, pull_request]
jobs:
karman-scan:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v3
with:
fetch-depth: 0
- name: Executar Motor Zero-Trust
uses: karman-cybersecurity/scanner-action@v1
with:
karman_token: ${{ secrets.KARMAN_TOKEN }}
O que faz: Em ambientes corporativos regulados (bancos, fintechs e seguradoras), políticas de conformidade impedem a concessão de acesso de leitura a aplicações externas. O modelo Zero-Trust resolve isso executando a imagem Docker da Karman dentro dos seus próprios servidores de CI/CD (GitHub Actions, GitLab CI ou Jenkins).
Como ajustar: Copie o arquivo de workflow YAML acima para a pasta .github/workflows/scan.yml do seu repositório. Crie uma Secret chamada KARMAN_TOKEN com o token gerado. A cada Pull Request ou Push, o scanner roda na sua máquina e envia apenas o resumo de alertas para o painel.
Relatório de Vulnerabilidades
Lista de credenciais, tokens ou senhas encontrados no código-fonte em texto claro.
| Data da Descoberta | Repositório | Arquivo / Resumo | Tipo de Ameaça | Ação Recomendada |
|---|
O que faz: O relatório forense lista credenciais críticas (chaves de nuvem AWS/GCP, tokens de pagamento Stripe/MercadoPago, credenciais de banco de dados e certificados SSL) expostas no código ou em commits antigos do Git.
Protocolo de Correção: 1. Revogue Imediatamente: Nunca apenas apague a chave em um commit novo, pois ela continuará salva no histórico do repositório; revogue a chave exposta diretamente no provedor emissor. 2. Limpeza do Git: Utilize ferramentas como git-filter-repo para expurgar o commit da árvore do repositório caso seja um projeto público ou compartilhado. 3. Nova Varredura: Dispare uma nova auditoria para certificar a eliminação completa do incidente.
Configurações do Motor Gitleaks
Defina regras de caminhos ignorados e customização de padrões.
Ignorar Caminhos Padrão
Pastas e arquivos que contêm dependências ou builds compilados são ignorados automaticamente pelo motor:
Regras Regex Customizadas
Defina padrões regex corporativos específicos da sua empresa para que o motor os identifique como ameaças.
O que faz: A lista de exclusão impede varreduras desnecessárias em pastas de pacotes de terceiros (como node_modules/ ou builds compilados target/), acelerando a análise e prevenindo falsos positivos. As regras regex personalizadas permitem identificar chaves internas e tokens proprietários específicos da sua organização.
Como ajustar: O sistema vem pré-configurado de fábrica com os padrões ideais. Caso sua empresa utilize um prefixo padronizado para chaves de API proprietárias, realize o upgrade para o plano Zero-Trust e cadastre a expressão regular desejada para ser auditada junto com os mais de 140 detectores nativos.