engineering on Grafana Labs
·
如何大规模检测脆弱的GitHub Actions，使用Zizmor
💡
原文英文，约1500词，阅读约需6分钟。
📝
内容提要
2025年4月，Grafana Labs因不安全的GitHub Actions发生安全事件，未发现代码修改或客户数据泄露。为防止未来攻击，Grafana引入开源工具Zizmor，提升所有代码库的安全性。
🎯
关键要点
- 2025年4月，Grafana Labs因不安全的GitHub Actions发生安全事件，未发现代码修改或客户数据泄露。
- Grafana引入开源工具Zizmor，提升所有代码库的安全性。
- Zizmor是由William Woodruff开发的开源静态分析工具，Grafana Labs与其合作。
- 安全事件源于使用不安全的pull-request-target，允许未授权用户在受信环境中执行恶意代码。
- Grafana Labs的安全措施及时响应，成功阻止了攻击。
- Zizmor用于检测和防止潜在的GitHub Actions漏洞，涵盖多种审计规则。
- Grafana Labs通过可重用的工作流在所有代码库中实施Zizmor。
- GitHub组织规则集允许在所有仓库中统一应用Zizmor工作流。
- 实施Zizmor面临挑战，包括GitHub的速率限制和集中规则集配置问题。
- Grafana Labs选择在离线模式下运行Zizmor，以避免消耗速率限制，计划定期检查热门仓库。
❓
延伸问答
Grafana Labs在2025年发生了什么安全事件？
Grafana Labs在2025年4月因不安全的GitHub Actions发生安全事件，但未发现代码修改或客户数据泄露。
Zizmor是什么，它的主要功能是什么？
Zizmor是由William Woodruff开发的开源静态分析工具，用于检测和防止潜在的GitHub Actions漏洞。
Grafana Labs如何实施Zizmor以提高安全性？
Grafana Labs通过可重用的工作流在所有代码库中实施Zizmor，并使用GitHub组织规则集统一应用工作流。
Grafana Labs在使用Zizmor时遇到了哪些挑战？
Grafana Labs在使用Zizmor时遇到的挑战包括GitHub的速率限制和集中规则集配置问题。
Zizmor如何帮助防止未来的安全攻击？
Zizmor通过检测不安全的pull-request-target和其他审计规则，帮助Grafana Labs防止未来的安全攻击。
Grafana Labs选择在离线模式下运行Zizmor的原因是什么？
Grafana Labs选择在离线模式下运行Zizmor，以避免消耗GitHub的速率限制，确保快速运行。
➡️
