在一张仪表板上全面了解跨所有组织的 GitHub Apps、细粒度 PAT 和经典 PAT
[图片]
大规模管理 GitHub Apps 和个人访问令牌（PAT）比想象中更加困难。安全团队面临持续的挑战：了解安装了哪些应用、它们拥有哪些权限、以及哪些令牌正在被积极使用。
我们亲眼见证了这一点。许多组织依赖 Excel 电子表格来跟踪 GitHub 集成。他们手动记录哪些应用有访问权限、被授予了哪些权限、以及令牌何时创建。这不仅耗时、容易出错，而且很快就会过时。
今天，我们正式发布 Apps & PATs，这是一项新功能，将所有这些信息整合到一个集中的仪表板中。
问题：可见性差距造成安全风险
GitHub Apps 和个人访问令牌对于自动化工作流程和集成第三方工具至关重要。但它们也代表着潜在的安全风险，尤其是当：
-
应用随时间累积了广泛权限，却未进行定期审查
-
长生命周期令牌在不再需要后仍然保持活跃状态
-
企业中的多个 GitHub 组织缺乏统一监督
如果没有适当的跟踪，组织就会面临攻击者可以利用的盲点。被泄露的令牌或权限过多的应用可能提供对仓库、密钥和敏感代码的未授权访问。
解决方案：集中式实时仪表板
Apps & PATs 为安全和平台团队提供全面的可见性：
GitHub Apps
-
组织中安装的所有应用程序
-
细粒度权限（按风险等级用颜色编码：红色表示管理员权限，黄色表示写权限，蓝色表示读权限）
-
安装范围（所有仓库或选定的仓库）
-
可订阅事件和安装日期
-
一目了然的当前状态
细粒度个人访问令牌
-
令牌所有者和唯一标识符
-
授予的具体权限
-
仓库访问范围
-
创建、过期和上次使用的时间戳
-
活跃状态监控
经典个人访问令牌
-
令牌所有者和凭据标识符
-
授权范围
-
授权时间戳
-
通过最后 8 个字符快速识别
多组织可见性：企业级变革
对于在企业内管理多个 GitHub 组织的客户，Apps & PATs 更进一步。仪表板聚合了所有 GitHub 组织的数据，无需分别检查每个组织，而是通过单一视图呈现。
这种企业级可见性意味着您可以：
-
发现跨组织模式（例如：同一个风险应用在各处安装）
-
强制执行一致的访问策略
-
快速识别异常值和异常情况
-
减少上下文切换和手动汇总
与众不同之处
告别手动跟踪： 用自动更新的实时数据替换静态电子表格。
安全优先设计： StepSecurity 绝不访问密钥值或 PAT 内容。我们仅收集可见性和治理所需的非敏感元数据。
风险一目了然： 颜色编码的权限让您无需深入细节即可快速评估风险。
可操作的洞察： 识别具有广泛权限的应用、数月未使用的令牌、以及应该轮换的凭据。
实际影响
使用 Apps & PATs 的安全团队现在可以：
-
持续审计集成 而非季度性手动审查
-
更快响应事件 通过快速识别哪些应用和令牌有权访问受影响的仓库
-
强制执行最小权限访问 通过发现权限过多的应用和令牌
-
降低供应链风险 通过监控整个组织中的第三方集成
-
节省数小时的手动工作 这些时间以前花在维护电子表格上
开始使用
Apps & PATs 现已面向 Enterprise 层级客户开放。
准备好深入了解您的 GitHub Apps 和 PAT 了吗？请参阅我们的文档开始使用。
您也可以查看此交互式演示来了解其工作原理：
[iframe]
对于认真对待软件供应链安全的组织，可见性是基础。Apps & PATs 确保您对谁以及什么有权访问您的代码拥有完整的视图，贯穿您管理的每个 GitHub 组织。
与 StepSecurity 平台的其余部分一样，Apps & PATs 数据可通过我们的 API 完全访问，便于集成到您现有的安全工作流程和报告管道中。