対応テンプレート
GitHubトークン漏えい対応テンプレート
GitHubトークン漏えい時は、削除より先に失効し、権限範囲と実利用ログを確認する。
- 重要度
- 高
- 想定読者
- 開発者・SRE・セキュリティ担当
- 所要時間
- 約12分
何を確認するか
GitHub Personal Access Token、Deploy Key、Actions Secretsなどの漏えい疑いに対し、失効、影響確認、履歴確認、再発防止を進めるテンプレート。
なぜ重要か
トークンはパスワードより広いAPI操作権限を持つ場合があり、CI/CDやクラウド連携へ波及する。
見落とすと何が起きるか
有効なトークンが残ると、リポジトリclone、secret取得、ワークフロー改ざん、リリース改ざんにつながる。
初動
- 漏えいした可能性のあるトークン種別と所有者を特定する
- 対象トークンを失効し、必要な場合は代替トークンを最小権限で再発行する
- 該当リポジトリ、ブランチ、Actionsログ、issue、PRを確認する
封じ込め
- 所有者アカウントのセッション、MFA、SSH鍵、OAuthアプリを確認する
- 外部コラボレーターやGitHub App権限を一時的に見直す
- CI/CDの実行権限と環境保護ルールを確認する
調査
- 不審なclone、push、workflow dispatch、secret変更、release作成を確認する
- トークンがアクセス可能だった外部サービスのログを確認する
- 漏えい経路がローカル、CI、公開リポジトリ、ログのどれかを切り分ける
復旧
- 新しいsecretをActions環境へ登録し、不要なsecretを削除する
- ビルド・デプロイが最小権限で動くことを確認する
- 影響サービスの認証情報を必要に応じてローテーションする
再発防止
- Secret Scanning、push protection、pre-commit検知を有効化する
- 長期PATを減らし、fine-grained PATやOIDCへ移行する
- トークン棚卸しを定期運用に入れる
報告文テンプレート
件名: GitHubトークン漏えい疑い 初動報告 検知日時 / 検知経路: 対象トークン種別: 失効状況: 対象リポジトリ / 権限範囲: 不審操作の有無: 再発防止タスク: