Πώς παραβλέπεται
Ο πράκτορας κώδικά σας άνοιξε το .env. Θα το προσέχατε; Αυτό το αρχείο μπορεί να περιέχει κλειδιά API και διαπιστευτήρια υπηρεσιών. Μέσα σε μια πολυάσχολη συνεδρία, μια ευαίσθητη ανάγνωση μπορεί να μοιάζει με ένα απλό βήμα.
Ένας πράκτορας διερευνά ένα ζήτημα διαμόρφωσης. Διαβάζει τον οδηγό έργου, ελέγχει ένα πρότυπο, και κατόπιν ανοίγει το αρχείο περιβάλλοντος. Κάθε βήμα φαίνεται συνηθισμένο. Το ερώτημα είναι αν αυτή η τελευταία ανάγνωση ήταν αναγκαία για την εργασία.
Τι ανιχνεύει το ClawMetry
Το ClawMetry διακρίνει ένα πρότυπο διαμόρφωσης από μια τοποθεσία με μορφή διαπιστευτηρίων. Μια καταγεγραμμένη ανάγνωση του .env εγείρει προειδοποίηση πρόσβασης σε διαπιστευτήρια, με κατηγορία αρχείου περιβάλλοντος που μπορείτε να επιθεωρήσετε.
Η διαφορά που αλλάζει το εύρημα
Παράδειγμα ενεργοποίησης
cat .env
Εύρημα προειδοποίησης
Αθόρυβη σύγκριση
cat .env.example
Κανένα εύρημα για αυτόν τον ανιχνευτή.
Η ανάγνωση του ελεγχόμενου προτύπου παραμένει ήσυχη. Η ανάγνωση του αρχείου περιβάλλοντος προειδοποιεί. Εάν εμφανιστεί εξωτερικός προορισμός σε καταγεγραμμένα ορίσματα εργαλείων μετά από αυτήν την ανάγνωση, το εύρημα γίνεται κρίσιμο. Ένας προορισμός πριν την ανάγνωση δεν δημιουργεί αυτήν την κλιμάκωση.
Εξετάστε το αποτέλεσμα ανιχνευτή
{
"kind": "credential_access",
"severity": "warning",
"evidence": {
"categories": [
"environment file"
],
"strong_categories": [
"environment file"
],
"accesses": 1,
"egress_after": [],
"dump_secret_names": 0,
"observed": "tool_arguments",
"redacted": "paths, commands and secret values are deliberately not recorded"
}
}Πώς ελέγχθηκε το παράδειγμα
Αυτά τα παραδείγματα αξιολογούν τον δημοσιευμένο ανιχνευτή με δεδομένα συμβάντων ή αναλώσιμα αρχεία ρυθμίσεων. Τα βίντεο απεικονίζουν αυτές τις συμπεριφορές. Δεν αποτελούν εγγραφές ζωντανών agents ή της διεπαφής προϊόντος. Καμία εντολή στα παραδείγματα δεν εκτελέστηκε.
Το αποτέλεσμα καθορίζει τη συμπεριφορά για αυτές τις εισόδους. Δεν καθορίζει λήψη δεδομένων runtime, πρόληψη ή πραγματικό συμβιβασμό. Εξετάστε τη σταθερή σύμβαση πηγής.
Τι να ελέγξετε στη συνέχεια
Αναθεωρήστε την κλήση εργαλείου, συγκρίνετέ την με την εργασία και ελέγξτε τι ακολούθησε. Ήταν απαραίτητο το ευαίσθητο αρχείο, και εμφανίστηκε εξωτερικός προορισμός στη συνέχεια;
- Αναθεωρήστε την κλήση εργαλείου
- Ελέγξτε την εργασία
- Ελέγξτε τι ακολούθησε
Τι καθορίζει αυτό το σήμα
Η πρόσβαση δεν αποδεικνύει αποκάλυψη. Ο ανιχνευτής βλέπει καταγεγραμμένα ορίσματα εργαλείων και έξοδο. Δεν είναι παρακολουθητής syscall ή δικτύου.