Het detecteren van gelekte referenties is slechts de helft van de strijd. De echte uitdaging – en vaak de verwaarloosde helft van de vergelijking – is wat er gebeurt na detectie. Nieuw onderzoek van Gitguardian’s State of Secrets Sprawl 2025 -rapport onthult een verontrustende trend: de overgrote meerderheid van blootgesteld bedrijf Geheimen ontdekt in openbare repositories blijven jarenlang geldig na detectie, waardoor een groeiend aanvalsoppervlak ontstaat dat veel organisaties niet aanpakken.
Volgens de analyse van Gitguardian van blootgestelde geheimen in openbare GitHub -repositories, blijft een alarmerend percentage van de referenties die al in 2022 zijn gedetecteerd vandaag geldig:
“Het detecteren van een gelekt geheim is slechts de eerste stap”, zegt het onderzoeksteam van Gitguardian. “De ware uitdaging ligt in snelle sanering.”
Waarom blootgestelde geheimen geldig blijven
Deze aanhoudende geldigheid suggereert twee verontrustende mogelijkheden: beide Organisaties weten niet dat hun inloggegevens zijn blootgesteld (een probleem met de veiligheidszichtbaarheid), of ze missen de middelen, processen of urgentie verhelpen ze (Een probleem met de beveiligingsoperaties). In beide gevallen is een betreffende observatie dat die geheimen niet eens routinematig worden ingetrokken, noch automatisch van standaardafname, noch handmatig als onderdeel van reguliere rotatieprocedures.
Organisaties blijven zich niet bewust van blootgestelde referenties of missen de middelen om deze effectief aan te pakken. Hardgecodeerde geheimen verspreiden zich over codebases, waardoor uitgebreide sanering uitdagen. Geheime rotatie vereist gecoördineerde updates tussen diensten en systemen, vaak met productie -impact.
Resource-beperkingen dwingen prioritering van alleen de blootstellingen met het hoogste risico, terwijl legacy-systemen technische barrières creëren door moderne benaderingen zoals kortstondige referenties niet te ondersteunen.
Deze combinatie van beperkte zichtbaarheid, operationele complexiteit en technische beperkingen verklaart waarom hardcode geheimen vaak geldig blijven lang na blootstelling. Verhuizen naar moderne geheimen beveiligingsoplossingen met gecentraliseerde, geautomatiseerde systemen en kortstondige referenties is nu een operationele noodzaak, niet alleen een best practice van de beveiliging.
Welke diensten lopen het meeste risico? De trends
Achter de ruwe statistieken ligt een alarmerende realiteit: kritieke productiesystemen blijven kwetsbaar vanwege blootgestelde referenties die jarenlang blijven bestaan in openbare repositories.
Analyse van blootgestelde geheimen van 2022-2024 blijkt dat database-referenties, cloudsleutels en API-tokens voor essentiële services geldig blijven lang na hun eerste blootstelling. Deze zijn geen testen of ontwikkelingsreferenties maar authentieke sleutels tot productieomgevingenhet vertegenwoordigen van directe paden voor aanvallers om toegang te krijgen tot gevoelige klantgegevens, infrastructuur en bedrijfskritische systemen.
Gevoelige diensten nog steeds blootgesteld (2022–2024):
- MongoDB: aanvallers kunnen deze gebruiken om gegevens te exfiltreren of corrupte gegevens. Deze zijn zeer gevoelig en bieden potentiële aanvallers toegang tot Persoonlijk identificeerbare informatie of technisch inzicht dat kan worden gebruikt voor escalatie van voorrechten of laterale beweging.
- Google Cloud, AWS, Tencent Cloud: deze cloudsleutels geven potentiële aanvallers toegang tot infrastructuur, code en klantgegevens.
- MySQL/PostgreSQL: deze database -referenties blijven ook elk jaar in openbare code bestaan.
Dit zijn geen testreferenties, maar sleutels tot live services.
In de afgelopen drie jaar is het landschap van blootgestelde geheimen in openbare repositories verschoven op manieren die zowel vooruitgang als nieuwe risico’s onthullen, vooral voor cloud- en database -referenties. Nogmaals, deze trends weerspiegelen alleen degenen die zijn gevonden en nog steeds geldig zijn – wat betekent Ze zijn niet verholpen of ingetrokken ondanks dat ze publiekelijk zijn blootgesteld.
Voor cloud -referenties tonen de gegevens een gemarkeerde opwaartse trend. In 2023 waren geldige cloudreferenties goed voor iets minder dan 10% van alle nog steeds actieve blootgestelde geheimen. Tegen 2024 was dat aandeel gestegen tot bijna 16%. Deze toename weerspiegelt waarschijnlijk de groeiende acceptatie van cloudinfrastructuur en SaaS in enterprise -omgevingen, maar het onderstreept ook de voortdurende strijd waarmee veel organisaties worden geconfronteerd bij het veilig beheren van cloudtoegang – vooral naarmate de snelheid van de ontwikkelaar en de complexiteit toeneemt.
In tegenstelling tot database -inloggegevens zijn in de tegenovergestelde richting bewogen. In 2023, Geldige database -referenties maakten meer dan 13% uit van de gedetecteerde niet -afgezette geheimen, maar tegen 2024 daalde dat cijfer tot minder dan 7%. Deze achteruitgang zou kunnen aangeven dat bewustzijn en saneringsinspanningen rond databasedefenties-met name na spraakmakende inbreuken en een toegenomen gebruik van beheerde databaseservices-zijn vruchten afgeworpen.
De algehele afhaalmaaltijden is genuanceerd: hoewel organisaties mogelijk beter worden in het beschermen van traditionele databasegeheimen, suggereert de snelle toename van geldige, niet -afgezette cloud -inloggegevens dat nieuwe soorten geheimen hun plaats innemen als de meest voorkomende en risicovolle. Naarmate cloud-native architecturen de norm worden, is de behoefte aan geautomatiseerde geheimenbeheer, kortstondige referenties en snelle sanering urgenter dan ooit.
Praktische saneringsstrategieën voor risicovolle referenties
Om het risico dat wordt blootgesteld te verminderen Mongodb -referentiesorganisaties moeten snel handelen om te roteren die mogelijk zijn gelekt en IP instellen, toestaan dat het streng kan beperken wie toegang heeft tot de database. Het inschakelen van auditlogging is ook de sleutel voor het detecteren van verdachte activiteiten in realtime en helpen met onderzoeken na een inbreuk. Voor de beveiliging op langere termijn ga je weg van hardcode wachtwoorden door gebruik te maken van dynamische geheimen. Als u MongoDB -atlas gebruikt, is programmatische toegang tot de wachtwoordrotatie mogelijk via de API, zodat u uw CI/CD -pijpleidingen routinematig geheimen kunt laten draaien, zelfs als u geen blootstelling hebt gedetecteerd.
Google Cloud -toetsen
Als een Google Cloud -sleutel wordt ooit blootgesteld, de veiligste stap is onmiddellijke intrekking. Om toekomstig risico te voorkomen, overgang van statische serviceaccountsleutels naar moderne, kortstondige authenticatiemethoden: gebruik Workload Identity Federation voor externe werklast, voeg servicecontacts rechtstreeks toe aan Google Cloud Resources of implementeer serviceaccount-imitatie wanneer gebruikerstoegang vereist is. Regelmatige sleutelrotatie afdwingen en de minste privilege -principes toepassen op alle serviceaccounts om de potentiële impact van elke blootstelling te minimaliseren.
Aws iam referenties
Voor Aws iam referentiesonmiddellijke rotatie is essentieel als blootstelling wordt vermoed. De beste verdediging op lange termijn is om langlevende toetsentoegangsleutels volledig te elimineren, kiezen voor IAM-rollen en AWS ST’s om tijdelijke referenties te bieden voor workloads. Leverage IAM -rollen voor systemen buiten AWS overal. Audit uw toegangsbeleid routinematig met AWS IAM ACCESS Analyzer en schakelt AWS CloudTrail in voor uitgebreide logboekregistratie, zodat u snel kunt zien en reageren op elk verdacht gebruik van referenties.
Door deze moderne Secrets-managementpraktijken aan te nemen-gericht op kortstondige, dynamische referenties en automatisering-kunnen organisaties de risico’s van blootgestelde geheimen aanzienlijk verminderen en sanering een routine, beheersbaar proces maken in plaats van een brandoefening.
Secret Managers Integrations kunnen ook helpen om deze taak automatisch op te lossen.
Conclusie
De aanhoudende validiteit van blootgestelde geheimen vertegenwoordigt een aanzienlijk en vaak over het hoofd gezien beveiligingsrisico. Hoewel detectie essentieel is, moeten organisaties prioriteit geven aan snelle sanering en verschuiven naar architecturen die de impact van blootstelling aan referenties minimaliseren.
Zoals onze gegevens aantonen, wordt het probleem erger, niet beter – met meer geheimen blijven langer geldig na blootstelling. Door de implementatie van de juiste geheime managementpraktijken en weg te gaan van langlevende referenties, kunnen organisaties hun aanvalsoppervlak aanzienlijk verminderen en de impact van onvermijdelijke blootstellingen verminderen.
Gitguardian’s State of Secrets Sprawl 2025 Report biedt een uitgebreide analyse van de trends van geheimen blootstelling en saneringsstrategieën. Het volledige rapport is beschikbaar op www.gitguardian.com/files/the-tate-of-secrets-sprawl-report-2025.
