Postman Secret Scanner برای پیدا کردن و محافظت از اطلاعات حساس مثل API key و token در elementهای Postman استفاده می‌شود. این قابلیت هم workflowهای local و هم resourceهایی را که در Postman cloud ذخیره شده‌اند پوشش می‌دهد تا خطر افشای تصادفی secretها کمتر شود.
Secret Scanner می‌تواند secretهای افشاشده را شناسایی کند، از ذخیره یا share ناامن آن‌ها جلوگیری کند و به team کمک کند ریسک‌ها را مدیریت و رفع کند. این اسکن روی elementهایی مثل collection، environment و published documentation انجام می‌شود و در صورت نیاز می‌توانید secretهای تشخیص‌داده‌شده را با Postman Vault امن‌تر نگه دارید.
Secret Scanner چه کاری انجام می‌دهد؟
Secret Scanner از چند قابلیت مکمل تشکیل شده است:
- Local Secret Protection: secretهای افشاشده را قبل از خروج از شبکه شما و sync شدن با Postman cloud تشخیص می‌دهد. این قابلیت روی همه نوع workspace، از جمله connected Git projectها کار می‌کند. بعد از تشخیص، می‌توانید secret را در Postman Vault ذخیره کنید، آن را به صورت plaintext نگه دارید یا حذف کنید.
- Cloud Secret Detection: secretهای افشاشده را در elementهایی که با Postman cloud sync شده‌اند پیدا می‌کند و findingها را اطلاع‌رسانی می‌کند. Public workspaceها به‌صورت پیش‌فرض اسکن می‌شوند. در Enterprise plan با Advanced Security Administration add-on می‌توانید اسکن را به internal workspaceها و Partner Workspaceها هم گسترش دهید.
Secret Scanner dashboard
در Enterprise plan، Team Admin و Super Admin می‌توانند از Secret Scanner dashboard برای مدیریت نحوه تشخیص، رسیدگی و تحلیل secretها در organization استفاده کنند.
برای Local Secret Protection می‌توانید policyهای workspace-level تنظیم کنید تا مشخص شود secretهای پیدا شده چگونه handled شوند. برای Cloud Secret Detection می‌توانید secretهای شناسایی‌شده را در workspaceهای team ببینید و مدیریت کنید.
شخصی‌سازی تشخیص secret
با custom patternها می‌توانید secretهای مخصوص سازمان خودتان، مثل proprietary tokenها را شناسایی کنید. Custom patternها در Enterprise plan همراه با Advanced Security Administration add-on در دسترس هستند.
گزارش‌ها و insightها
Secret Scanner reports به شما نشان می‌دهد secretها در سطح organization چگونه شناسایی و مدیریت می‌شوند. این گزارش‌ها metricهای Local Secret Protection و Cloud Secret Detection را پوشش می‌دهند و برای teamهای Enterprise با Advanced Security Administration add-on در دسترس هستند.
مدیریت findingها با Postman API
Endpointهای Secret Scanner در Postman API برای Enterprise plan همراه با Advanced Security Administration add-on در دسترس هستند. Adminها، Super Adminها و Workspace Adminها می‌توانند findingهای Secret Scanner را از طریق API دریافت و مدیریت کنند.
استفاده از API برای teamهایی مفید است که می‌خواهند workflowهای خودکار بسازند؛ مثلا findingها را جمع‌آوری کنند، آن‌ها را در سیستم امنیتی داخلی ثبت کنند یا فرآیند resolve کردن secretها را خودکار کنند.
منبع آموزشی: Postman Docs، بازنویسی و ساده‌سازی‌شده برای کاربران فارسی‌زبان.