GitHub Actions Sicherheit: Best Practices nach zwei schwerwiegenden Vorfällen

Kürzlich erfolgte Angriffe auf GitHub Actions, darunter ein Angriff auf die Lieferkette und ein Kompromittierung von tj-actions, heben erhebliche Sicherheitsrisiken hervor. Dieser Leitfaden bietet praktische Ratschläge zum Sichern Ihrer GitHub Actions-Workflows. Er umfasst wichtige Begriffe, Best Practices für die Konfiguration von Organisationseinstellungen und Repositoryschutz auf Repository-Ebene, Geheimnissverwaltung und sicheres Schreiben von Workflows. Wichtige Schwachstellen wie Poisoned Pipeline Execution (PPE) werden behandelt, zusammen mit Empfehlungen zur Minimierung der Verwendung von Drittanbieter-Actions, zur Steuerung von Berechtigungen und zur Verwendung von Tools für statische Analyse und Richtlinienumsetzung.