使用Security Monkey监控代码托管平台组织安全状态的技术指南

使用Security Monkey监控代码托管平台组织安全状态的技术指南

security_monkey Security Monkey monitors AWS, GCP, OpenStack, and GitHub orgs for assets and their changes over time. 项目地址: https://gitcode.com/gh_mirrors/se/security_monkey

项目概述

Security Monkey是Netflix开源的一款安全监控工具，主要用于跟踪云环境中的安全策略变更和配置变化。本文重点介绍如何使用Security Monkey来监控代码托管平台组织、仓库和团队的安全状态。

功能特点

Security Monkey对代码托管平台的支持主要包括以下功能：

1. 持续监控：跟踪代码托管平台组织中的资源及其随时间的变化
2. 安全审计：内置审计规则可检测潜在安全问题
3. 变更追踪：记录组织成员、仓库权限等关键配置的变更历史
4. 告警机制：对可疑变更或安全风险发出告警

特别值得注意的是，该工具能够检测组织成员是否启用了双因素认证(2FA)等关键安全配置。

准备工作

环境要求

1. 至少一个代码托管平台组织
2. 具有足够权限的组织成员账户：
   • 对组织内所有仓库拥有Admin权限
   • 或是组织的Owner
3. 为该账户创建个人访问令牌(Personal Access Token)

权限配置

创建个人访问令牌时需要授予以下权限范围(scope)：

• repo：仓库访问权限
• read:org：读取组织信息
• read:public_key：读取公钥
• user：用户信息读取
• read:gpg_key：读取GPG密钥

此外，该用户必须被加入一个对所有仓库至少有只读权限的团队。

安装配置

基础安装

建议参考Security Monkey的标准安装流程，但有以下注意事项：

1. 如果仅用于代码托管平台监控，则不需要配置IAM权限
2. 建议为代码托管平台监控单独部署实例，不与AWS/GCP监控混用

凭证配置

Security Monkey通过Python字典或JSON文件读取代码托管平台凭证，格式如下：

{
  "OrganizationName1": "personal_access_token_1",
  "OrganizationName2": "personal_access_token_2"
}

配置方式有两种：

1. 直接写入环境配置文件env-config/ConfigYouAreUsing.py：

   CODE_HOSTING_CREDENTIALS = {
     "OrganizationName1": "personal_access_token_1",
     "OrganizationName2": "personal_access_token_2"
   }
   

2. 保存为JSON文件并通过参数指定路径

添加监控组织

可以通过UI界面或命令行添加需要监控的代码托管平台组织。

命令行示例：

monkey add_account_code_hosting -n NAME --active --id IDENTIFIER [--access_token_file PATH]

参数说明：

• -n NAME：组织在Security Monkey中的显示名称
• --active：启用监控
• --id IDENTIFIER：代码托管平台上的实际组织名称
• --access_token_file：凭证文件路径（如未在配置文件中设置）

添加完成后，需要重启调度器使变更生效。

重要注意事项

API速率限制

代码托管平台对API调用有严格的速率限制（每小时5000次请求）。监控多个组织或大型组织时容易达到此限制。需要注意：

1. 速率限制是按用户计算的
2. 达到限制后，该用户的所有API调用将暂停至下一小时
3. 建议为监控任务使用专用账户，避免影响其他自动化流程

安全建议

1. 用于监控的账户应严格控制访问权限
2. 定期轮换个人访问令牌
3. 监控日志应定期审查
4. 考虑设置备用监控账户以防主账户被限

最佳实践

1. 分组织监控：大型组织可考虑按团队或项目拆分监控
2. 定时调整：根据API使用情况调整监控频率
3. 告警整合：将Security Monkey告警接入现有告警系统
4. 定期审计：定期审查监控配置和审计规则

通过合理配置，Security Monkey可以成为代码托管平台组织安全监控的有力工具，帮助团队及时发现和应对潜在的安全风险。

security_monkey Security Monkey monitors AWS, GCP, OpenStack, and GitHub orgs for assets and their changes over time. 项目地址: https://gitcode.com/gh_mirrors/se/security_monkey