Repolode
Enviar
step-security

step-security/harden-runner

Agente de segurança para runners do GitHub Actions que monitora tráfego de rede de saída, gravações de arquivos e atividade de processos para detectar ataques à cadeia de suprimentos.

Ver no GitHubSite
Estrelas
1,289
Forks
120
Issues abertas
54
Último commit
há 3 dias

O que é?

O Harden-Runner é um agente de segurança que roda dentro de jobs de CI/CD e funciona como uma ferramenta de detecção de endpoints para runners do GitHub Actions. Ele registra conexões de rede de saída, gravações de arquivos e execuções de processos, associando cada evento à etapa, ao job e ao workflow específicos em que ocorreu. Isso ajuda a preencher uma lacuna: runners de build efêmeros costumam lidar com secrets e produzir artefatos de produção sem o monitoramento aplicado a outros sistemas críticos.

O agente pode criar uma linha de base das conexões de saída esperadas para cada job e sinalizar qualquer destino novo. No plano Community, também pode restringir o tráfego de saída com uma lista de permissões de domínios e aplicar uma lista de bloqueio global de domínios e IPs associados a ataques ativos à cadeia de suprimentos. Runners Linux têm suporte completo, enquanto runners Windows e macOS oferecem apenas o modo de auditoria.

Runners auto-hospedados, repositórios privados, políticas centralizadas, integração com SIEM e alertas exigem o plano pago Enterprise. Os recursos Community são gratuitos para repositórios públicos em runners hospedados pelo GitHub.

Recursos principais

  • 01Associa cada conexão de rede de saída, gravação de arquivo e execução de processo à etapa correspondente do workflow.
  • 02Cria uma linha de base das conexões de saída por job e sinaliza novos destinos.
  • 03Restringe o tráfego de saída com uma lista de permissões de domínios no modo de bloqueio.
  • 04Aplica uma lista de bloqueio global de domínios e IPs associados a ataques ativos à cadeia de suprimentos.
  • 05Oferece suporte a runners hospedados pelo GitHub em Linux, Windows e macOS, com o modo de bloqueio limitado ao Linux.
  • 06Oferece suporte a runners auto-hospedados, incluindo ARC, no plano Enterprise.

Casos de uso

  • Detectar GitHub Actions de terceiros comprometidas que exfiltram secrets durante os builds.
  • Auditar quais hosts externos um pipeline de CI acessa antes de restringir as regras de tráfego de saída.
  • Monitorar pipelines de build de projetos open source que publicam artefatos para os usuários.
  • Reduzir as permissões de GITHUB_TOKEN ao mínimo necessário para um workflow.

Início rápido

  1. 1

    Adicione o Harden-Runner como primeira etapa de cada job no arquivo de workflow do GitHub Actions

  2. 2

    Execute o workflow e abra o link no log do job para ver os eventos de rede e de arquivos

Antes de usar

  • O plano Community gratuito cobre apenas repositórios públicos em runners hospedados pelo GitHub.
  • Repositórios privados e runners auto-hospedados exigem uma assinatura Enterprise paga.
  • Funciona apenas em workflows do GitHub Actions, não em outros sistemas de CI/CD.

Em coleções

Frameworks de teste e ferramentas de automação de testes

Tópicos

#github-actions#ci-cd#supply-chain-security#runtime-security#egress-filtering#network-security#actions#hardening#runners#security-hardening

Perguntas frequentes

O que é harden-runner?
Agente de segurança para runners do GitHub Actions que monitora tráfego de rede de saída, gravações de arquivos e atividade de processos para detectar ataques à cadeia de suprimentos. O Harden-Runner é um agente de segurança que roda dentro de jobs de CI/CD e funciona como uma ferramenta de detecção de endpoints para runners do GitHub Actions. Ele registra conexões de rede de saída, gravações de arquivos e execuções de processos, associando cada evento à etapa, ao job e ao workflow específicos em que ocorreu. Isso ajuda a preencher uma lacuna: runners de build efêmeros costumam lidar com secrets e produzir artefatos de produção sem o monitoramento aplicado a outros sistemas críticos.
harden-runner é gratuito? Qual é a licença?
harden-runner é open source sob a licença Apache-2.0. Confira os termos da licença antes de usá-lo em produtos comerciais.
harden-runner ainda é mantido?
Manutenção ativa. O último commit de harden-runner foi em 19 de out. de 2026.
Para que posso usar harden-runner?
Detectar GitHub Actions de terceiros comprometidas que exfiltram secrets durante os builds. Auditar quais hosts externos um pipeline de CI acessa antes de restringir as regras de tráfego de saída. Monitorar pipelines de build de projetos open source que publicam artefatos para os usuários. Reduzir as permissões de GITHUB_TOKEN ao mínimo necessário para um workflow.
Como instalar harden-runner?
Adicione o Harden-Runner como primeira etapa de cada job no arquivo de workflow do GitHub Actions Execute o workflow e abra o link no log do job para ver os eventos de rede e de arquivos
Onde consigo harden-runner?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/step-security/harden-runner

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados