Titus от компании Praetorian — это высокопроизводительный инструмент для сканирования и обнаружения конфиденциальных данных, таких как пароли, ключи API и другие секреты, в различных источниках. Он разработан для интеграции в процессы разработки и эксплуатации, обеспечивая надежную защиту от утечек.

Ключевые особенности Titus

  • Обширная база правил: Включает 459 правил детектирования, охватывающих широкий спектр сервисов и систем, включая AWS, GCP, Azure, GitHub, Slack, различные базы данных, а также среды CI/CD.
  • Высокая производительность: Использует механизм Hyperscan для ускоренного поиска по регулярным выражениям, что обеспечивает быструю и эффективную проверку больших объемов данных.
  • Валидация в реальном времени: Предоставляет возможность live-валидации обнаруженных секретов через API соответствующего источника, подтверждая их актуальность и работоспособность.

Форматы запуска и интеграция

Titus предлагает несколько гибких вариантов развертывания и использования, что делает его универсальным инструментом для различных сценариев:

  • Интерфейс командной строки (CLI): Позволяет сканировать файлы, директории, историю Git-репозиториев, а также напрямую проверять репозитории GitHub без необходимости предварительного клонирования.
  • Расширение для Burp Suite: Интеграция с популярным инструментом для тестирования безопасности веб-приложений обеспечивает пассивное и активное сканирование сетевого трафика на наличие секретов.
  • Расширение для Chrome: Позволяет анализировать JavaScript-код, а также данные из localStorage и sessionStorage веб-страниц прямо в браузере. Важно: расширение может временно отключать политики CSP/CORS только во время активного тестирования.
  • Библиотека Go: Возможность встраивания функционала Titus в собственные программные пайплайны и приложения на языке Go.

Преимущества перед аналогами

В отличие от таких инструментов, как TruffleHog или Gitleaks, Titus выделяется следующими особенностями:

  • Единый движок и набор правил: Использует унифицированный механизм сканирования и набор правил для всех своих интерфейсов, что гарантирует согласованность и полноту проверок.
  • Сканирование бинарных файлов: Поддерживает анализ бинарных форматов, включая APK, IPA, PDF, документы Office и различные архивы, расширяя область обнаружения секретов.
  • Готовые интеграции: Предоставляет удобную интеграцию с Burp Suite и Chrome «из коробки», упрощая внедрение в существующие рабочие процессы.

Примеры использования Titus

Ниже приведены основные команды для начала работы с Titus:

Сканирование директории

titus scan ./src

Анализ истории Git-репозитория

titus scan --git ./repo

Сканирование репозитория GitHub без клонирования

titus github owner/repo --token $GITHUB_TOKEN

Сканирование с валидацией обнаруженных секретов

titus scan ./code --validate

Для получения дополнительной информации и доступа к исходному коду проекта посетите официальный репозиторий на GitHub: https://github.com/praetorian-inc/titus