# シークレット リスク評価結果の解釈

secret risk assessmentからの結果を理解し、リークの修復に優先順位を付けます。

## イントロダクション

このチュートリアルでは、シークレット リスク評価の結果を解釈し、次の方法を学習します。

* ダッシュボードのリスク メトリックを理解する
* リスクの高いシークレット リークを特定する
* 修復のためにシークレットに優先順位を付ける

## 前提条件

secret risk assessmentレポートを生成し、スキャンが完了するまで待つ必要があります。 「[組織のシークレット リスク評価の実行](/ja/code-security/how-tos/secure-at-scale/configure-organization-security/configure-specific-tools/assess-your-secret-risk)」を参照してください。

## 手順 1: ダッシュボードのメトリックを理解する

評価が完了したら、ダッシュボードの上部にある主要なメトリックを確認します。

* **シークレットの合計数**: 組織全体で検出されたシークレット リークの合計数
* **パブリック リーク**: **パブリック** リポジトリで見つかった個別のシークレット
* **防止可能なリーク**: 保護対策で防げた可能性のあるリーク

また、シークレットの合計数からパブリック リークの数を差し引くことで、 **プライベート リポジトリ** で見つかったシークレットの数を確認することもできます。 これらのシークレットの修復はすぐに重要ではありませんが、他のユーザーがリポジトリへの不正アクセスを取得した場合や、リポジトリが公開された場合は、リスクが引き続き発生します。

## 手順 2: シークレット カテゴリを理解する

**\[シークレット**カテゴリ] セクションを見て、**漏洩したシークレットの種類を理解します**。

* **プロバイダー パターン**: 既知のサービス (AWS、Azure、 GitHub トークン) の特定のシークレット形式
* **汎用パターン**: 秘密キー、API キー、パスワードなどの一般的なシークレット形式

プロバイダー パターンは、多くの場合、それらが属しているサービスを正確に把握しているため、識別と取り消しが簡単になります。 一般的なパターンでは、より多くの調査が必要になる場合があります。

## 手順 3: 影響を受けるリポジトリの数を特定する

リーク メトリック **を含むリポジトリ** を確認します。これは、シークレット リークが含まれるリポジトリの数を示しています。

高い **割合** のリポジトリにリークが含まれている場合は、次を示している可能性があります。

* シークレット管理に関する広範なカルチャの問題
* 組織全体のトレーニングの必要性
* コミット前にシークレットをブロックするプッシュ保護などのガードレールが見つからない

リークが含まれるリポジトリが **少数**は、次のことができます。

* 特定のチームに修復作業を集中させる
* リーク情報を使用して、リスクの高い領域であるリポジトリを特定する

## 手順 4: 漏洩したシークレットを種類別に確認する

下部までスクロールして、次の内容を含む詳細な **シークレットの種類** のテーブルを表示します。

* **シークレットの種類**: 特定の種類のシークレット
* **個別のリポジトリ**: この型を含む異なるリポジトリの数
* **シークレットが見つかりました**: すべてのリポジトリでこのシークレットの種類の合計数

テーブルは、最大の数で自動的に並べ替え、最大のリスクを特定するのに役立ちます。

**同じ種類の多くのシークレット** (複数の AWS キーなど) が表示される場合は、次を示します。

* 開発者が環境変数を使用していない可能性がある
* シークレット管理に関するドキュメントがありません

## 手順 5: 修復と関連するアクションに優先順位を付ける

メトリックを理解したら、リスクに基づいて修復に優先順位を付けます。

最も優先度の高いシークレットは、 **パブリック リポジトリ内のリークされたプロバイダー パターン**です。これは次のためです。

* インターネット上のすべてのユーザーがアクセス可能
* 多くの場合、どのサービスに属するかを把握しているため、識別と取り消しが簡単です

次に、リスクが低いシークレットに対処したり、修復にさらに広範な取り組みを必要としたりすることができます。 次の場合があります。

* **パブリック リポジトリ内の一般的なパターン。パブリック リポジトリが**属するサービスまたはシステムを特定するために調査が必要になる場合があります
* **プライベート リポジトリのリーク**。直ちに低いリスクを表しますが、それでも対処する必要があります

最後に、リーク修復以外の追加の防止作業が必要になる可能性がある次のインジケーターを探します。

* **リークを伴う多くのリポジトリ**: 組織全体のトレーニングとセキュリティ意識の向上の必要性を示します
* **繰り返されるシークレットの種類**: 特定のワークフローまたはチームが対象となる介入を必要とするよう提案する
* **一般的なシークレット カテゴリ**: セキュリティの強化が必要な特定の CI/CD プロセスを指している場合があります

リスク評価によって識別される脆弱性またはリークの修復は、  GitHub Advanced Securityにより簡単です。 対象となるエンタープライズ管理者は、結果ページから直接、企業全体の試用版を開始できます。