はじめに

HCP Vault Radarは、シークレット情報スキャン機能で、APIキーやパスワードなどの機密情報の漏洩を防ぐためのサービスです。
GitHubのリポジトリと連携するだけで、pushされたコードに含まれるシークレットを自動で検出してくれるということで、実際に触ってみました。

HCP Vault Radarの詳しい説明は、以下のご紹介動画を参照ください。

HCP Vault Radarではいくつかのスキャン方式を提供しています。
以下は、HCP Vault Radarが提供するスキャン方式の一覧です。

#	カテゴリ	説明
1	HCP Vault Radar Scan	SaaSからの直接スキャン、トライアル環境で設定可能。
2	Vault Radar Agent Scan	Agent経由のスキャン、トライアル環境で設定可能。Agentは１つまで構成可能
3	Vault Radar CLI Scan	CLIでのスキャン。マニュアルに「Contact your customer success manager to enable HCP Vault Radar or for a license to run the CLI in offline mode.」と記載あるので一部利用できない可能性あり。

今回は、#1 HCP Vault Radar Scan 方式のスキャンを試してみました。

1.事前準備

HCP Vault Radarの30日間利用できるトライアル環境を用意します。

1.https://portal.cloud.hashicorp.com にアクセスします

2.アカウントを作成します（Google連携もOK）

3.ダッシュボード左メニューの「Vault Radar」を選択します

4.トライアルの申し込みします（Get started with 30 day trial を選択）

こちらで、HCP Vault Radar環境が準備できました。
次に、GitHubと連携設定を行います。

2.GitHubとの連携

1.遷移先の画面で、スキャン方法として、「HCP Vault Radar Scan」を選択し、Continueをクリックします

2.スキャン対象のデータソースを設定します。今回はGitHub Cloudを選択します

3.GitHubの組織名を指定し、パーソナルアクセストークンを設定します

GitHubのアクセストークンは、下記スコープを選択して発行します。

repo
read:org
admin:repo_hook
admin:org_hook
read:user

4.リポジトリを選択します。（あるいは、All active repositoriesを選択します）

5.スキャンが完了すると、以下のような画面に遷移します。

以上で、GitHubとの連携ができました。
次に、リポジトリにシークレットを記載し、スキャンしてみます。

3.GitHubへのテストシークレットの登録とプッシュ

テストシークレットを登録して、GitHubにPushします。

❗ 本物の鍵は絶対に使用しないでください。本記事のキーはすべて無効なダミーです。

vault-radar-demo/
├── .env
└── config.js

.env

AWS_ACCESS_KEY_ID=AKIAFAKEKEY1234567890
AWS_SECRET_ACCESS_KEY=wJalrXUtnFAKESECRETKEYEXAMPLE
SENDGRID_API_KEY=SG.fakevalue.1234

config.js

const password = "hunter2";
const dbPassword = "supersecurepassword123";

GitHubに同期されたことを確認します。

4.スキャン結果確認

HCP Vault Radarが自動的にスキャンした結果がダッシュボードに表示されます。

リソース名をクリックすると、詳細情報が確認できます。

スキャンは次の3つのタイプで区分けされていました。

#	カテゴリ	説明
1	Secrets	シークレット
2	PII	個人を特定できる情報
3	Non-Inclusive Language	非包括的言語(特定のグループの人々を排除したり、不快にさせたりする可能性のある言葉や表現のこと）

Detailsタブの右上にある「Add to scan queue」ボタンをクリックすると、手動でスキャンキューを登録できました。

Scansタブでは、スキャン履歴が時系列で確認できます。

カテゴリ名で「Secrets」のリンクをクリックすると、検出したシークレット情報がイベント形式で一覧表示されます。

各イベント行を選択すると、さらに詳細情報が表示されました。また、Remediation（修復措置）についても情報提供があります。

Context列にあるリンクをすると、GitHubでソースコードを確認できます。

シークレットごとに、Triaged/False Positive（誤検知）/などステータス管理ができます。

最後に

今回は、HCP vault Radarから直接スキャンする形で、GitHubのデータをスキャンしました。
次回は、HCP Vault Radarで、GitHubのPull Request内にあるシークレット検出機能を試してみます。Pull Requestをスキャンすることで、新しいコードに潜むシークレット漏洩のリスクを早期に発見できる可能性があります。

参考情報

Vault Radar公式ページ（英語）
https://developer.hashicorp.com/hcp/docs/vault-radar