الگوهای Secret Scanner در Postman

Patternها در Secret Scanner مشخص می‌کنند Postman چه نوع secretهایی مثل API key، token یا کلیدهای اختصاصی را پیدا کند. این قابلیت کمک می‌کند داده‌های حساس قبل از انتشار یا بعد از ذخیره شدن در workspaceها سریع‌تر شناسایی شوند و تیم امنیت بهتری داشته باشد.

الگوهای پیش‌فرض #

Secret Scanner به صورت پیش‌فرض tokenهای سرویس‌دهنده‌های رایج مثل Amazon، Google، GitHub، Stripe و Twilio را بررسی می‌کند. این default patternها برای همه planهای Postman در دسترس هستند.

در Postman Enterprise، Team Adminها می‌توانند لیست کامل patternهای پیش‌فرض را ببینند. برای این کار وارد Secret Scanner dashboard شوید و tab Patterns را باز کنید.

Custom patternها #

Custom patternها برای تیم‌هایی کاربرد دارند که tokenهای اختصاصی داخلی یا tokenهای برنامه‌های third-party دارند که Postman به صورت پیش‌فرض آن‌ها را scan نمی‌کند. این قابلیت در Enterprise plan همراه با Advanced Security Administration add-on ارائه می‌شود.

هر تیم می‌تواند تا پنج custom pattern اضافه کند. برای اضافه کردن custom pattern باید Community Manager باشید یا همزمان نقش‌های Developer و Admin را داشته باشید.

ساخت custom pattern #

برای اضافه کردن یک custom pattern:

1. از header وارد Organization > Organization settings شوید.
2. از sidebar گزینه Secret Scanner را انتخاب کنید و tab Patterns را باز کنید.
3. در بخش Custom patterns روی Add کلیک کنید.
4. در بخش Pattern details این موارد را وارد کنید: Name برای نام pattern، Regex برای regular expression مربوط به secret، و Sample value برای تست معتبر بودن pattern.
5. در بخش Scan activation مشخص کنید pattern مستقیم به Secret Scanner اضافه شود یا ابتدا dry run شود.

اگر گزینه Add pattern to secret scanner را انتخاب کنید، secretهای پیدا شده در tab Cloud Detection نمایش داده می‌شوند. گزینه Scan existing elements به صورت پیش‌فرض فعال است؛ یعنی Postman elementهای موجود را هم scan می‌کند. اگر فقط می‌خواهید elementهای جدید بعد از ساخت pattern scan شوند، این گزینه را خاموش کنید.

اگر گزینه Dry run the pattern first with select workspaces را انتخاب کنید، می‌توانید pattern را روی حداکثر ۲۰ workspace عمومی، internal یا Partner Workspace تست کنید. نتیجه dry run به tab Cloud Detection اضافه نمی‌شود.

ویرایش یا حذف custom pattern #

برای ویرایش، روی نام pattern کلیک کنید یا گزینه Edit کنار آن را بزنید. می‌توانید نام، regex و sample value را تغییر دهید و سپس Save را انتخاب کنید.

اگر regex را تغییر دهید، باید مشخص کنید با secretهای قبلی چه شود:

• Keep Existing Leaks: secretهای شناسایی‌شده قبلی که به نسخه‌های قبلی همین pattern مربوط هستند همچنان نمایش داده شوند.
• Remove Existing Leaks: secretهای شناسایی‌شده قبلی مربوط به نسخه‌های قبلی این pattern حذف شوند.

تغییر regex فقط برای elementهای جدید استفاده می‌شود. اگر می‌خواهید elementهای موجود هم با تغییر جدید scan شوند، یک custom pattern جدید بسازید و گزینه Scan existing elements را فعال نگه دارید.

برای حذف pattern، گزینه Delete کنار آن را انتخاب کنید و حذف را تایید کنید. با حذف pattern، secretهای شناسایی‌شده مربوط به همان pattern از tab Secrets detected حذف می‌شوند.

Dry run کردن custom pattern #

Dry run کمک می‌کند قبل از اضافه کردن pattern به Secret Scanner، ببینید regex شما چه نتیجه‌هایی برمی‌گرداند. این کار برای کاهش false positive و اصلاح pattern قبل از فعال‌سازی واقعی مفید است.

1. هنگام ساخت custom pattern، گزینه Dry run the pattern first with select workspaces را انتخاب کنید.
2. حداکثر ۲۰ workspace را برای scan انتخاب کنید.
3. روی Dry Run Pattern کلیک کنید.

بعد از پایان dry run، در tab Patterns کنار custom pattern روی View results کلیک کنید. می‌توانید نتیجه‌ها را بررسی کنید، scan را دوباره اجرا کنید، یا اگر نتیجه مناسب بود روی Add Pattern to Secret Scanner کلیک کنید.

در مرحله تایید نهایی می‌توانید یکی از این گزینه‌ها را انتخاب کنید:

• Ignore Existing Elements: فقط elementهای جدید با این pattern scan شوند.
• Scan Existing Elements: هم elementهای جدید و هم elementهای موجود با این pattern scan شوند.

منبع آموزشی: Postman Docs، بازنویسی و ساده‌سازی‌شده برای کاربران فارسی‌زبان.