GitHub: Configuración del Conector API de Protección de Datos

Este artículo explica cómo configurar el conector de GitHub para la política Protección de API de Aplicaciones & Datos para su cuenta y crear reglas que utilicen este conector en la Política de Protección contra Amenazas y Protección de Datos.

La política de Protección de Aplicaciones & Datos API requiere una licencia Cato separada. Por favor, contacte a su representante de Cato o revendedor oficial para obtener más información.

Los archivos binarios no son soportados para el conector de GitHub.

"Visión general"

El conector API de Protección de Datos de GitHub monitorea el contenido en los commits que los usuarios envían a los repositorios, y busca datos sensibles que usted define en los Perfiles de Contenido DLP. Cuando el conector identifica datos sensibles en un commit, genera un evento con los detalles. Por ejemplo, puede buscar tokens API, claves SSH, credenciales de base de datos, y más en los commits.

Para monitorear el contenido en los commits, cree el conector para la organización GitHub, luego configure reglas en las políticas de Protección contra Amenazas y Protección de Datos que definan los usuarios y repositorios que se escanean y monitorean.

"Requisitos previos"

• Permisos de administrador para la cuenta GitHub de su organización

Permisos requeridos para los conectores API para GitHub

Para habilitar la API de Protección de Datos para escanear los commits de GitHub, el conector otorga a Cato los siguientes permisos en la cuenta de GitHub:

• Acceso de lectura a código, miembros y metadatos

Trabajando con conectores de GitHub

Esta sección explica cómo crear conectores API para GitHub para escanear commits en busca de datos sensibles y amenazas.

Creando el conector de GitHub

Utilice la Aplicación de Gestión de Cato para crear el conector GitHub, y luego inicie sesión en su cuenta GitHub. Seleccione la organización en la que instalar el conector, y luego seleccione los repositorios a los que el conector puede acceder. Puede seleccionar todos los repositorios para la organización o solo algunos específicos.

Puede crear un solo conector para cada organización GitHub. Para múltiples organizaciones, se requiere un conector separado para cada una.

El conector de GitHub permite al motor de API de Protección de Datos escanear el contenido que usted define en la política de Protección de Datos.

Nota:

• No puede instalar más de un conector para una organización. Intentar instalar un segundo conector para la misma organización puede afectar la funcionalidad, y es posible que la organización ya no sea monitoreada.

• Cambiar la configuración de un conector existente en la consola de gestión de GitHub puede afectar la funcionalidad, y es posible que la organización ya no sea monitoreada.

Para crear el conector para GitHub:

1. Desde el menú de navegación, selecciona Recursos > Integraciones y haz clic en la pestaña APIs Integradas.

2. Haga clic en New. Se abre el panel Nuevo Conector.

3. En el Conector de aplicación desplegable, selecciona GitHub.

4. En la sección Capacidad, seleccione Protección de Datos y contra Amenazas.

5. Ingrese el Nombre del Conector.

6. Haga clic en Autorizar y Guardar. Usted es redirigido a GitHub.

7. Instale la aplicación en GitHub:

   1. En GitHub, inicie sesión como administrador. Si ya está conectado a GitHub, verifique que está conectado como administrador.

   2. Seleccione la organización para el conector.

      

   3. Si es necesario, inicie sesión en la organización.

   4. Seleccione los repositorios que el conector tiene permiso para acceder, y haga clic en Instalar. Puede seleccionar todos los repositorios en la organización o específicos.

      

   5. La pantalla muestra que ha aplicado con éxito los permisos para el inquilino.

      

   6. El conector de GitHub se crea y se agrega a la pestaña APIs Integradas.

Comprensión del Estado del Conector

La columna Estado en la página de Aplicaciones SaaS Instaladas muestra el estado de la conexión entre su cuenta GitHub y su cuenta Cato. Estas son las explicaciones de los estados:

• Conectado - Su cuenta está conectada y funcionando correctamente

• Error de conexión - Problema de conectividad o permisos con el conector de GitHub. Por favor, abra un ticket con Soporte.

• Pendiente de consentimiento del usuario - El conector de GitHub se crea en la página de Configuraciones de Conexión, sin embargo, no se ha autenticado correctamente en GitHub. Puede tomar varios segundos procesar la autenticación, así que si recibe este estado, actualice el navegador.

Agregando Reglas de GitHub a la Política de Protección de Datos

Esta sección explica cómo usar la política de Protección de Datos para monitorear commits de GitHub en busca de datos sensibles. Cuando un usuario envía un commit a un repositorio, el motor de Protección de Datos analiza el nuevo contenido contenido en el commit para detectar los datos sensibles definidos en los Perfiles de Contenido. El contenido que fue previamente enviado al repositorio no se escanea, solo el nuevo contenido que es diferente en el commit.

Entendiendo la Configuración de las Reglas de GitHub

Esta sección explica cómo definir la configuración de las reglas de Protección de Datos para escanear commits de GitHub. Cada regla puede ser definida con las siguientes configuraciones:

• Usuarios - Defina los usuarios de GitHub a monitorear. Seleccione Cualquiera o defina uno o más usuarios específicos.

• Objetos - Defina qué repositorios de GitHub se escanean. Seleccione Cualquiera o defina uno o más repositorios específicos.

  • Los repositorios disponibles para escanear incluyen aquellos a los que el conector tiene permiso para acceder, según lo definido cuando se creó el conector. Ver más arriba Crear el conector de GitHub.

• Atributos de Archivo - Excluya archivos del escaneo en función del Nombre de Archivo y Tipo de Archivo. Los archivos que cumplen con los atributos definidos no se escanean para contenido sensible.

• Perfil de contenido - Perfil de Contenido DLP que define la inspección del contenido DLP

  Puedes crear o editar Perfiles de Contenido en Seguridad > Perfiles DLP > Perfiles DLP > Perfil de contenido

• Acciones - Seleccione si desea generar un evento o enviar una notificación cuando se cumpla la regla

Configuración de las Reglas GitHub

Utilice la página de Protección de Datos para agregar las reglas de la aplicación SaaS a su política de Protección de Datos.

Para crear una nueva regla de Protección de Datos para la aplicación GitHub:

1. Desde el panel de navegación, seleccione Seguridad > Protección API de Aplicación y Datos y seleccione o expanda Protección de Datos.

2. Haga clic en New. Se abre el panel de Nueva Regla.

3. En Conector de Aplicación, seleccione la aplicación GitHub.

4. En la sección Configuración general, ingrese la configuración para la regla.

5. En Usuarios, defina los usuarios de GitHub que está monitoreando:

   • Cualquiera - Monitorea todos los usuarios de GitHub en la organización (valor predeterminado)

   • Usuario de GitHub - Seleccione los usuarios específicos de la organización para monitorear

6. En Objetos, defina los repositorios de GitHub que se escanean. El valor predeterminado es Cualquiera.

7. En Atributos de Archivo, defina los criterios para especificar los archivos que se escanean (la configuración predeterminada es escanear todos los archivos).

8. En Perfil de contenido, selecciona el Perfil de Contenido DLP para esta regla.

   Para más información sobre los Perfiles de Contenido DLP, consulte Creación de Perfiles de Contenido DLP.

9. En Acciones, seleccione Monitorear.

10. (Opcional) Configure opciones de seguimiento para generar Eventos y Enviar Notificaciones.

    Para obtener más información sobre notificaciones, consulte el artículo relevante sobre Grupos de Suscripción, Listas de Correo e Integraciones de Alertas en la sección de Alertas.

11. Hacer clic en Guardar. La regla se agrega a la política de Protección de Datos.

Trabajando con reglas de protección de datos ordenadas

El motor de API de Protección de Datos inspecciona los datos secuencialmente y verifica si coincide con una regla. Si los datos no coinciden con una regla, no se inspeccionan. Las reglas que están en la parte superior de la base de reglas tienen una mayor prioridad y se aplican antes que las reglas más bajas en la base de reglas. Cada tipo de aplicación o conector se aplica solo una vez a los datos.

Mejores prácticas - Para maximizar la eficiencia de su base de reglas, recomendamos que para cada tipo de conector, las reglas para usuarios específicos tengan una prioridad más alta que las reglas que se aplican a Todos los usuarios.

Por ejemplo, si los datos coinciden con un conector en la regla #2, los datos son inspeccionados por el motor API de Protección de Datos. El motor no continúa aplicando las reglas n°3 y siguientes para el mismo conector. Sin embargo, los datos podrían coincidir con una regla de prioridad inferior con un conector diferente.

Agregando protección contra amenazas al conector

Puedes crear Reglas de Protección contra Amenazas para el conector para Escanear archivos y Archivos adjuntos en busca de Malware y virus utilizando los Motores de terceros Anti-Malware y Motores de terceros NG Anti-Malware que están Habilitados para tu Cuenta. El motor API de Protección de Datos escanea el tráfico del conector y aplica las opciones de acción y seguimiento que configures para la regla:

• Monitorear el tráfico (pronto se soportará bloqueo)

• Genera eventos

• Enviar notificaciones por email

Cuando creas una regla App & Data API Protection, los motores Anti-Malware que están habilitados para tu cuenta (Seguridad > Anti-Malware) realizan escaneos de malware en los archivos que se envían para esa aplicación de conector.

La siguiente captura de pantalla muestra una regla de Protección contra Amenazas para el conector de OneDrive que escanea los archivos enviados por los usuarios internos o los invitados:

Creando una excepción para un archivo

A veces hay un archivo bloqueado por los motores de API de Protección de Datos de Cato que sabe que es seguro y necesita permitirlo en la red. Las excepciones de Anti-Malware en la política de Hash del archivo también se aplican a la Protección de API de Aplicaciones y Datos. Para más información sobre cómo agregar archivos a la Política de Hash del archivo, consulte Gestión de Excepciones de Anti-Malware.

Analizando Eventos de la API de Protección de Datos

La página Inicio > Eventos muestra todos los eventos de la API de Protección de Datos para su cuenta. Las herramientas de búsqueda poderosas permiten profundizar e identificar los pocos eventos que contienen los datos relevantes que necesita.

Los eventos de la API de Protección de Datos pueden ser identificados por los siguientes campos:

• Tipo de evento - Seguridad

• Sub-Tipo - Protección de datos de API de seguridad SaaS y Anti Malware de API de seguridad SaaS

Puede aprender más sobre el uso de la página de Eventos aquí.

Este es un ejemplo de evento de conector GitHub de API de Seguridad SaaS:

Explicando los Campos de Eventos de la API de Protección de Datos