Repolode
Enviar
step-security

step-security/harden-runner

Agente de seguridad para CI/CD en runners de GitHub Actions que supervisa el tráfico de red saliente, las escrituras de archivos y la actividad de procesos para detectar ataques a la cadena de suministro.

Ver en GitHubSitio web
Estrellas
1,289
Forks
120
Issues abiertos
54
Último commit
hace 3 días

¿Qué es?

Harden-Runner es un agente de seguridad que se ejecuta dentro de los trabajos de CI/CD y funciona como una herramienta de detección de endpoints para los runners de GitHub Actions. Registra las conexiones de red salientes, las escrituras de archivos y las ejecuciones de procesos, y vincula cada evento con el paso, el trabajo y el workflow concretos en los que ocurrió. Así aborda una brecha de seguridad: los runners de compilación efímeros suelen manejar secretos y generar artefactos de producción sin la supervisión que se aplica a otros sistemas críticos.

El agente puede crear una línea base de las conexiones salientes esperadas para cada trabajo y señalar cualquier destino nuevo. En el nivel Community también puede restringir el tráfico saliente mediante una lista de dominios permitidos y aplicar una lista global de bloqueo de dominios e IP vinculados a ataques activos a la cadena de suministro. Los runners Linux tienen compatibilidad completa, mientras que los runners Windows y macOS solo admiten el modo de auditoría.

Los runners autohospedados, los repositorios privados, las políticas centralizadas, la integración con SIEM y las alertas requieren el nivel Enterprise de pago. Las funciones de Community son gratuitas para los repositorios públicos que usan runners alojados por GitHub.

Funciones clave

  • 01Vincula cada conexión de red saliente, escritura de archivo y ejecución de proceso con el paso correspondiente del workflow.
  • 02Crea una línea base de las conexiones salientes por trabajo y señala los destinos nuevos.
  • 03Restringe el tráfico saliente con una lista de dominios permitidos en modo de bloqueo.
  • 04Aplica una lista global de bloqueo de dominios e IP vinculados a ataques activos a la cadena de suministro.
  • 05Es compatible con runners de GitHub alojados en Linux, Windows y macOS, aunque el modo de bloqueo solo está disponible en Linux.
  • 06Ofrece compatibilidad con runners autohospedados, incluido ARC, en el nivel Enterprise.

Casos de uso

  • Detectar GitHub Actions de terceros comprometidas que exfiltran secretos durante las compilaciones.
  • Auditar con qué hosts externos se comunica una canalización de CI antes de endurecer las reglas de tráfico saliente.
  • Supervisar las canalizaciones de compilación de proyectos de código abierto que publican artefactos para sus usuarios.
  • Reducir los permisos de GITHUB_TOKEN al mínimo necesario para un workflow.

Inicio rápido

  1. 1

    Añade Harden-Runner como primer paso de cada job en el archivo de workflow de GitHub Actions

  2. 2

    Ejecuta el workflow y abre el enlace en el registro del job para ver los eventos de red y de archivos

Antes de usarlo

  • El plan Community gratuito solo cubre repositorios públicos en runners alojados por GitHub.
  • Los repositorios privados y los runners autohospedados requieren una suscripción Enterprise de pago.
  • Solo funciona en workflows de GitHub Actions, no en otros sistemas de CI/CD.

En colecciones

Frameworks de pruebas y herramientas de automatización

Temas

#github-actions#ci-cd#supply-chain-security#runtime-security#egress-filtering#network-security#actions#hardening#runners#security-hardening

Preguntas frecuentes

¿Qué es harden-runner?
Agente de seguridad para CI/CD en runners de GitHub Actions que supervisa el tráfico de red saliente, las escrituras de archivos y la actividad de procesos para detectar ataques a la cadena de suministro. Harden-Runner es un agente de seguridad que se ejecuta dentro de los trabajos de CI/CD y funciona como una herramienta de detección de endpoints para los runners de GitHub Actions. Registra las conexiones de red salientes, las escrituras de archivos y las ejecuciones de procesos, y vincula cada evento con el paso, el trabajo y el workflow concretos en los que ocurrió. Así aborda una brecha de seguridad: los runners de compilación efímeros suelen manejar secretos y generar artefactos de producción sin la supervisión que se aplica a otros sistemas críticos.
¿harden-runner es gratuito? ¿Qué licencia tiene?
harden-runner es open source bajo la licencia Apache-2.0. Revisa los términos de la licencia antes de usarlo en productos comerciales.
¿harden-runner sigue mantenido?
Mantenimiento activo. El último commit de harden-runner fue el 19 oct 2026.
¿Para qué puedo usar harden-runner?
Detectar GitHub Actions de terceros comprometidas que exfiltran secretos durante las compilaciones. Auditar con qué hosts externos se comunica una canalización de CI antes de endurecer las reglas de tráfico saliente. Supervisar las canalizaciones de compilación de proyectos de código abierto que publican artefactos para sus usuarios. Reducir los permisos de GITHUB_TOKEN al mínimo necesario para un workflow.
¿Cómo se instala harden-runner?
Añade Harden-Runner como primer paso de cada job en el archivo de workflow de GitHub Actions Ejecuta el workflow y abre el enlace en el registro del job para ver los eventos de red y de archivos
¿Dónde consigo harden-runner?
El código fuente y las instrucciones de instalación están en GitHub: https://github.com/step-security/harden-runner

Resumen generado por IA a partir del README del proyecto. Las estadísticas de GitHub se actualizan a diario.

Proyectos relacionados