评估机密扫描警报

关于评估警报

有一些额外功能可帮助你评估警报，以便更好地确定其优先级并进行管理。 您可以：

• 检查机密的有效性，了解机密是否仍处于活动状态。 请参阅检查机密的有效性。
• 查看令牌的元数据。 仅适用于 GitHub 令牌。 例如查看上次使用令牌的时间。 请参阅查看 GitHub 令牌元数据。
• 查看暴露机密的扩展元数据检查，以查看详细信息，例如机密所有者以及如何联系机密所有者。 仅适用于 OpenAI API、Google OAuth 和 Slack 令牌。 请参阅查看令牌的扩展元数据。

检查机密的有效性

验证检查让您知道哪些机密属于 active 或 inactive 机密，帮助你排列 警报优先级。 active 机密是仍可能被利用的机密，因此应该优先审查和修正它们的警报。

默认情况下，GitHub 检查 GitHub 令牌的有效性，并在警报视图中显示令牌的验证状态。

使用 GitHub Team 或 GitHub Enterprise Cloud 且拥有 GitHub Secret Protection 许可证的组织还可为合作伙伴模式启用验证检查。 有关详细信息，请参阅“检查机密的有效性”。

有效期	Status	结果
活动机密	active	GitHub 向此机密的提供者进行了核实，发现此机密处于活动状态
可能处于活动状态的机密	unknown	GitHub 尚不支持对此令牌类型进行验证检查
可能处于活动状态的机密	unknown	GitHub 无法验证此机密
机密处于非活动状态	inactive	应确保未发生未经授权的访问

可以使用 REST API 检索每个令牌的最新验证状态的列表。 有关详细信息，请参阅 REST API 文档中的“适用于机密扫描的 REST API 终结点”。 还可以使用 Webhook 来通知与 secret scanning 警报相关的活动。 有关更多信息，请参阅 secret_scanning_alert 中的 事件。

查看 GitHub 令牌元数据

在活动的 GitHub 令牌警报视图中，可以查看有关令牌的某些元数据。 此元数据可以帮助你识别令牌，并确定要采取的修正步骤。

令牌（如personal access token和其他凭据）被视为个人信息。 有关使用 GitHub令牌的详细信息，请参阅 GitHub 的隐私声明和可接受的使用政策。

GitHub 令牌的元数据可用于任何启用了机密扫描的存储库的活动令牌。 如果令牌已被撤销或无法验证其状态，则元数据将不可用。 GitHub 会自动撤销公共存储库中的 GitHub 令牌，因此公共存储库中 GitHub 令牌的元数据极有可能不可用。 以下元数据可用于活动的 GitHub 令牌：

Metadata	Description
机密名称	GitHub 令牌的创建者为该令牌提供的名称
机密所有者	令牌所有者的 GitHub 句柄
创建时间	令牌的创建日期
过期日期	令牌的过期日期
上次使用时间	上次使用令牌的日期
Access	令牌是否具有组织访问权限

只有对包含已泄露机密的存储库具有管理员权限的人员才能查看安全警报详细信息和警报的令牌元数据。 企业所有者可以出于此目的请求对存储库的临时访问权限。 如果授予访问权限，GitHub 会通知包含泄露机密的存储库的所有者，在存储库所有者和企业审计日志中报告该操作，并启用 2 小时的访问权限。

查看令牌的扩展元数据

在激活的GitHub令牌警报视图中，可以看到详细的元数据信息，例如所有者和联系人的详细信息。

下表显示了 所有可用的元数据。 请注意，元数据检查目前仅限于 OpenAI API、Google OAuth 和 Slack 令牌，并且每个令牌显示的元数据只能表示存在内容的子集。

元数据类型	Description
负责人 ID	提供者为拥有机密的用户或服务帐户分配的唯一标识符
所有者名称	可读的用户名或密钥所有者的显示名称
所有者电子邮件	与所有者关联的电子邮件地址
组织名称	机密所属的组织/工作区/项目的名称
组织 ID	提供商为该组织分配的唯一标识
机密颁发日期	创建或最近颁发机密（令牌或密钥）时的时间戳
秘密到期日期	计划机密过期时的时间戳
机密名称	为机密分配的人工显示名称或标签
机密 ID	提供程序的机密唯一标识符

后续步骤

•         [AUTOTITLE](/code-security/secret-scanning/managing-alerts-from-secret-scanning/resolving-alerts)