step-security/harden-runner

これは何？

主な機能

• 01外部への各ネットワーク接続、ファイル書き込み、プロセス実行を、発生元のワークフローステップに紐付けます。
• 02ジョブごとに外部接続のベースラインを作成し、新たな接続先を検出します。
• 03ブロックモードでドメインの許可リストを使い、送信トラフィックを制限します。
• 04進行中のサプライチェーン攻撃に関連するドメインやIPのグローバルブロックリストを適用します。
• 05Linux、Windows、macOSのGitHub-hosted runnerをサポートします。ブロックモードはLinuxに限られます。
• 06Enterprise tierでは、ARCを含むセルフホストrunnerをサポートします。

ユースケース

• ビルド中にシークレットを外部へ送信する、侵害されたサードパーティ製GitHub Actionsを検知する。
• 送信ルールを厳格化する前に、CIパイプラインが接続する外部ホストを監査する。
• ユーザー向けにアーティファクトを公開するオープンソースプロジェクトのビルドパイプラインを監視する。
• ワークフローに必要な最小限の権限までGITHUB_TOKENの権限を絞り込む。

クイックスタート

1. 1

   GitHub Actions のワークフローファイルで、各ジョブの最初のステップとして Harden-Runner を追加します

2. 2

   ワークフローを実行し、ジョブログ内のリンクを開いてネットワークイベントとファイルイベントを確認します

使う前に知っておきたいこと

• !無料の Community プランは、GitHub ホストランナー上のパブリックリポジトリのみを対象とします。
• !プライベートリポジトリとセルフホストランナーには、有料の Enterprise サブスクリプションが必要です。
• !GitHub Actions のワークフロー内でのみ動作し、他の CI/CD システムでは利用できません。

収録されている特集

トピック

よくある質問

harden-runner とは？

GitHub Actions runnerのネットワーク送信、ファイル書き込み、プロセスの動作を監視し、サプライチェーン攻撃を検知するCI/CDセキュリティエージェント。 Harden-RunnerはCI/CDジョブ内で動作するセキュリティエージェントで、GitHub Actions runner向けのエンドポイント検知ツールのように機能します。外部へのネットワーク接続、ファイル書き込み、プロセス実行を記録し、それぞれのイベントを発生元のステップ、ジョブ、ワークフローに紐付けます。これにより、シークレットを扱い、本番用アーティファクトを生成することも多い一方で、ほかの重要なシステムに適用されるような監視が行われていない、使い捨てのビルドrunnerにおける監視の抜けを補います。

harden-runner は無料で使えますか？ライセンスは？

harden-runner は Apache-2.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

harden-runner は今もメンテナンスされていますか？

活発にメンテナンス中。harden-runner の最終コミットは 2026年10月19日 です。

harden-runner は何に使えますか？

ビルド中にシークレットを外部へ送信する、侵害されたサードパーティ製GitHub Actionsを検知する。 送信ルールを厳格化する前に、CIパイプラインが接続する外部ホストを監査する。 ユーザー向けにアーティファクトを公開するオープンソースプロジェクトのビルドパイプラインを監視する。 ワークフローに必要な最小限の権限までGITHUB_TOKENの権限を絞り込む。

harden-runner のインストール方法は？

GitHub Actions のワークフローファイルで、各ジョブの最初のステップとして Harden-Runner を追加します ワークフローを実行し、ジョブログ内のリンクを開いてネットワークイベントとファイルイベントを確認します

harden-runner はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/step-security/harden-runner