GitHubリポジトリを1分間publicにしてしまった - 冷静なセキュリティ対応ガイド

    flowchart TD
    A[🚨 public設定に気づいた] --> B{今もpublicか?}
    B -->|はい| C[即座にprivateに戻す]
    B -->|いいえ| D[公開期間を確認]
    C --> D

    D --> E{シークレットが<br>含まれていたか?}

    E -->|不明| F[git履歴全体を検索]
    E -->|いいえ| G[✅ 低リスク<br>ログ記録のみで完了]
    E -->|はい| H{どの種類の<br>シークレット?}

    F --> E

    H -->|APIキー/トークン| I[🔴 即座にローテーション]
    H -->|パスワード| J[🔴 即座に変更]
    H -->|SSH鍵| K[🔴 新規生成・旧鍵削除]
    H -->|個人情報| L[🟡 法務/コンプライアンス相談]

    I --> M[影響範囲の確認]
    J --> M
    K --> M
    L --> M

    M --> N{不正利用の<br>痕跡があるか?}

    N -->|はい| O[🔴 インシデント対応<br>エスカレーション]
    N -->|いいえ| P[📝 記録・報告書作成]
    N -->|確認できない| P

    P --> Q[✅ 予防策の導入]
    O --> Q

    Q --> R[完了]

    style A fill:#ff6b6b,color:#fff
    style C fill:#ff6b6b,color:#fff
    style I fill:#ff6b6b,color:#fff
    style J fill:#ff6b6b,color:#fff
    style K fill:#ff6b6b,color:#fff
    style O fill:#ff6b6b,color:#fff
    style G fill:#51cf66,color:#fff
    style R fill:#51cf66,color:#fff
    style L fill:#ffd43b,color:#000
  

    ## 初動チェックリスト

### 即座に実行
- [ ] リポジトリをprivateに戻したか確認
- [ ] 公開されていた正確な時間を記録（Settings > Danger Zone の変更履歴）
- [ ] 自分以外にアクセスした形跡がないか確認（Insights > Traffic）

### 状況の把握
- [ ] 公開期間: ____分間（__:__ 〜 __:__）
- [ ] リポジトリ名: ____________________
- [ ] 含まれていた可能性のある機密情報:
  - [ ] APIキー / トークン
  - [ ] パスワード / 認証情報
  - [ ] SSH秘密鍵
  - [ ] 環境変数ファイル（.env）
  - [ ] 個人情報（PII）
  - [ ] 社内ドキュメント
  - [ ] 上記いずれも含まれていない
  

    # リポジトリ内のシークレットを検索するコマンド

# 1. .envファイルの存在確認
find . -name ".env*" -o -name "*.env" 2>/dev/null

# 2. 一般的なシークレットパターンの検索
grep -rE "(api[_-]?key|secret|password|token|credential)" \
  --include="*.{js,ts,py,rb,go,java,yaml,yml,json,xml,conf,config}" \
  . 2>/dev/null | head -50

# 3. AWS認証情報の検索
grep -rE "AKIA[0-9A-Z]{16}" . 2>/dev/null

# 4. 秘密鍵の検索
grep -rE "-----BEGIN (RSA |DSA |EC |OPENSSH )?PRIVATE KEY-----" . 2>/dev/null

# 5. git履歴全体での検索（過去のコミットも含む）
git log -p --all -S "password" -- "*.py" "*.js" "*.ts" | head -100
  

    # truffleHog（git履歴全体をスキャン）
trufflehog git file://. --only-verified

# gitleaks（高速なシークレット検出）
gitleaks detect --source . --verbose

# git-secrets（AWSに特化）
git secrets --scan
  

    ## ローテーション・チェックリスト

### クラウドプロバイダー
- [ ] AWS Access Key → IAMコンソールで新規作成、旧キー削除
- [ ] GCP Service Account Key → 新規JSON生成、旧キー削除
- [ ] Azure Service Principal → シークレット再生成

### SaaS / API
- [ ] Slack Bot Token → アプリ設定で再生成
- [ ] GitHub Personal Access Token → 新規作成、旧トークン削除
- [ ] Stripe API Key → ダッシュボードでロールまたは再生成
- [ ] SendGrid / Mailgun → API Key再生成

### データベース
- [ ] 本番DBパスワード → 変更後、アプリ側も更新
- [ ] Redis / ElastiCache → AUTH設定更新

### インフラ
- [ ] SSH秘密鍵 → `ssh-keygen` で新規生成、authorized_keysを更新
- [ ] SSL/TLS証明書 → 秘密鍵が漏洩していれば再発行
  

    flowchart TD
    A[漏洩の可能性を評価] --> B{GitHub Secret Scanning<br>からアラートが来た?}

    B -->|はい| C[🔴 GitHubが検知<br>= プロバイダーに通知済み]
    B -->|いいえ| D{Traffic Insightsで<br>異常なアクセスがある?}

    C --> E[該当シークレットは<br>確実にローテーション]

    D -->|はい| F[🟡 人間またはボットが<br>アクセスした可能性]
    D -->|いいえ| G{公開中にGitHub検索に<br>インデックスされた?}

    F --> E

    G -->|はい| H[🟡 検索経由で発見<br>された可能性あり]
    G -->|いいえ| I{クラウドプロバイダーから<br>不正利用アラートが来た?}

    H --> E

    I -->|はい| J[🔴 実際に悪用された<br>緊急対応が必要]
    I -->|いいえ| K[🟢 現時点で悪用の<br>証拠なし]

    J --> L[インシデント対応チーム<br>エスカレーション]
    K --> M[予防的にローテーション<br>推奨]

    E --> N[監視を強化して経過観察]
    M --> N
    L --> N

    style C fill:#ff6b6b,color:#fff
    style J fill:#ff6b6b,color:#fff
    style F fill:#ffd43b,color:#000
    style H fill:#ffd43b,color:#000
    style K fill:#51cf66,color:#fff
  

    # 1. GitHub Secret Scanningアラートの確認
# リポジトリ > Security > Secret scanning alerts

# 2. Traffic Insightsの確認
# リポジトリ > Insights > Traffic
# - Clones数が異常に多くないか
# - Unique visitorsに見知らぬ数がないか

# 3. AWSの場合：CloudTrailでAPIコール確認
aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=AccessKeyId,AttributeValue=AKIA... \
  --start-time 2024-01-01T00:00:00Z

# 4. GCPの場合：監査ログ確認
gcloud logging read "protoPayload.authenticationInfo.principalEmail:*" \
  --project=YOUR_PROJECT --limit=50
  

    # セキュリティインシデント報告書

## 概要
- **発生日時**: 2024年XX月XX日 HH:MM 〜 HH:MM（約X分間）
- **対象リポジトリ**: organization/repository-name
- **発見者**: [自分の名前]
- **報告日**: 2024年XX月XX日

## インシデント内容
GitHubリポジトリの可視性設定を誤ってprivateからpublicに変更し、
約X分間、インターネット上から閲覧可能な状態となった。

## 影響範囲
### 含まれていた可能性のある機密情報
- [ ] APIキー・トークン: [あり/なし/確認中]
- [ ] 認証情報: [あり/なし/確認中]
- [ ] 個人情報: [あり/なし/確認中]
- [ ] ソースコード: [あり]

### 漏洩の証拠
- GitHub Secret Scanningアラート: [あり/なし]
- Traffic Insights異常: [あり/なし]
- クラウドプロバイダーアラート: [あり/なし]

## 実施した対応
1. [HH:MM] リポジトリをprivateに変更
2. [HH:MM] シークレットの有無を確認
3. [HH:MM] 該当シークレットをローテーション
4. [HH:MM] 監視強化を設定

## ローテーションしたシークレット
| 種類 | 対象 | 完了日時 |
|-----|------|---------|
| AWS Access Key | AKIA... | HH:MM |
| GitHub Token | ghp_... | HH:MM |

## 再発防止策
1. [ ] pre-commitフックでシークレット検出を導入
2. [ ] リポジトリ設定変更時の承認フローを追加
3. [ ] 定期的なシークレットスキャンを自動化

## 結論
現時点で悪用された証拠は[確認されていない/確認された]。
予防的措置として全ての潜在的シークレットをローテーション済み。
継続的な監視を行い、異常があれば追加報告する。
  

    flowchart TD
    A[最初のコミット] -->|.envを含めてコミット| B[履歴に.envが残る]
    B --> C[後から.gitignoreに追加]
    C --> D[新規コミットには含まれない]
    D --> E[でも過去の履歴には残ったまま]

    E --> F[リポジトリをpublic化]
    F --> G[🔴 過去のコミットから<br>.envが丸見え]

    style A fill:#ff6b6b,color:#fff
    style B fill:#ff6b6b,color:#fff
    style G fill:#ff6b6b,color:#fff
    style C fill:#ffd43b,color:#000
    style D fill:#51cf66,color:#fff
  

    # 過去の全コミットで.envファイルを検索
git log --all --full-history -- "**/.env*"

# 過去の全コミットでシークレットっぽい文字列を検索
git log -p --all -S "password" | head -100
git log -p --all -S "api_key" | head -100
git log -p --all -S "secret" | head -100

# AWS認証情報が過去に含まれていたか
git log -p --all | grep -E "AKIA[0-9A-Z]{16}" | head -20

# 特定ファイルの履歴を確認
git log -p --all -- "**/credentials*"
git log -p --all -- "**/*.pem"
  

    # インストール
brew install gitleaks  # macOS
# または
go install github.com/gitleaks/gitleaks/v8@latest

# 全履歴をスキャン（これが最も確実）
gitleaks detect --source . --verbose --log-opts="--all"
  

    # BFGをダウンロード
# https://rtyley.github.io/bfg-repo-cleaner/

# .envファイルを全履歴から削除
java -jar bfg.jar --delete-files .env

# 特定の文字列を全履歴から置換
java -jar bfg.jar --replace-text passwords.txt

# passwords.txt の中身例:
# AKIAIOSFODNN7EXAMPLE==>***REMOVED***
# my-secret-password==>***REMOVED***

# クリーンアップ
git reflog expire --expire=now --all
git gc --prune=now --aggressive

# force push（⚠️ 他のクローンに影響）
git push --force
  

    # インストール
pip install git-filter-repo

# 特定ファイルを全履歴から削除
git filter-repo --path .env --invert-paths

# 特定パターンにマッチするファイルを削除
git filter-repo --path-glob '*.pem' --invert-paths
  

    # 1. コミット前に必ずスキャン
gitleaks protect --staged

# 2. pre-commitフックで自動チェック
# .pre-commit-config.yaml
repos:
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.18.0
    hooks:
      - id: gitleaks

# 3. 新規リポジトリ作成時に最初から.gitignoreを設定
# （後から追加しても履歴には残る）
  

    # .gitignoreに追加すべき項目（最初のコミット前に！）
.env
.env.*
*.pem
*.key
credentials.json
serviceaccount.json
*secret*
  

    # git-secretsの導入（コミット前にブロック）
brew install git-secrets  # macOS
git secrets --install
git secrets --register-aws
  

    # .pre-commit-config.yaml
repos:
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.18.0
    hooks:
      - id: gitleaks

  - repo: https://github.com/awslabs/git-secrets
    rev: master
    hooks:
      - id: git-secrets
  

    ## GitHub設定チェックリスト

### Organization設定（管理者向け）
- [ ] リポジトリ作成時のデフォルトをprivateに設定
- [ ] public変更に管理者承認を必須化
- [ ] Secret Scanningを有効化（Enterprise）
- [ ] Push Protectionを有効化

### 個人設定
- [ ] 二要素認証を有効化
- [ ] Personal Access Tokenの有効期限を設定
- [ ] SSHキーを最新のものに更新
  

    # 悪い例 ❌
export AWS_ACCESS_KEY_ID="AKIAXXXXXXXXXX"
export AWS_SECRET_ACCESS_KEY="xxxxxxxxxxxx"

# 良い例 ✅
# AWS CLIのプロファイル機能を使用
aws configure --profile myproject

# 開発環境では.envrcとdirenvを使用
# .envrc（.gitignoreに追加済み）
export AWS_PROFILE=myproject

# 本番環境ではシークレットマネージャーを使用
# AWS Secrets Manager / HashiCorp Vault / 1Password CLI
  

    # 履歴から削除する場合（force push が必要）
git filter-branch --force --index-filter \
  "git rm --cached --ignore-unmatch path/to/secret" \
  --prune-empty --tag-name-filter cat -- --all

# または BFG Repo-Cleaner（より高速）
bfg --delete-files .env
  

    # こういう流れで事故が起きる
git add .env          # ← ここでコミットされる
git commit -m "init"
# ...後日...
echo ".env" >> .gitignore
git add .gitignore
git commit -m "add gitignore"
# → .envは今後追加されないが、最初のコミットには残っている！
  

    # 過去のコミットに.envが含まれていないか確認
git log --all --full-history -- "**/.env*"

# 全履歴スキャン
gitleaks detect --source . --verbose --log-opts="--all"