AWS程序代码导师服务CodeGuru可自动侦测机密信息,防止密码意外泄露

程序代码审查和优化服务Amazon CodeGuru,其用来审查程序代码的组件CodeGuru Reviewer,现在添加机密侦测(Secrets Detector)工具,可以自动侦测源码和配置文件中的机密信息,包括密码、API密钥、SSH密钥和访问权限。

Amazon CodeGuru能够扫描和分析用户的Java和Python应用程序,协助用户提高程序代码品质,并进行自动化程序代码审查,Amazon CodeGuru分为Reviewer和Profiler两部分,Profiler能够分析应用程序执行时的行为,而Reviewer则会运用机器学习技术,侦测程序代码中的潜在缺陷和错误,能够找出安全漏洞、资源泄露、并行问题,或是提醒开发者的程序代码偏离AWS最佳实践。

机密信息的集中管理和治理,更是安全实践的重点之一,官方提到,由于许多开发人员在面临时间压力时,会选择在程序代码中走捷径,在本地端开发使用明文环境变量,或是写死静态机密信息,之后不经意地提交了这些机密。而AWS新发布的机密侦测工具,便是要以自动化的方式,来检测和保护企业存储库中的机密。

机密侦测器使用机器学习技术,在程序代码审查过程识别出明文写死的机密,要确保新程序代码在提交或是部署之前,不包含明文的机密。除了Java和Python程序代码之外,机密侦测器还会扫描配置和文件文件,CodeGuru Reviewer会建议修复步骤,借由使用AWS Secrets Manager保护用户的机密。AWS Secrets Manager是一项托管服务,可安全且自动地存储、轮替、管理和检索,包含凭证、API密钥和各种机密。

这个新功能会在CodeGuru Reviewer中免费提供,并且支持常见的API供应商,像是AWS、Atlassian、Datadog、Databricks、Slack和Telegram等。用户不需要支付额外的费用,就可以开始使用这个新功能,目前在所有提供CodeGuru Reviewer服务的地区都已经上线。