Repolode
Предложить
step-security

step-security/harden-runner

Агент безопасности для CI/CD, который отслеживает исходящие сетевые подключения, запись файлов и активность процессов на раннерах GitHub Actions, чтобы выявлять атаки на цепочки поставок.

Открыть на GitHubСайт
Звёзды
1,289
Форки
120
Открытые issues
54
Последний коммит
3 дня назад

Что это?

Harden-Runner — агент безопасности, который запускается внутри заданий CI/CD и работает как средство обнаружения угроз на раннерах GitHub Actions. Он записывает исходящие сетевые подключения, операции записи файлов и запуски процессов, связывая каждое событие с конкретным шагом, заданием и workflow. Это помогает закрыть пробел в защите: временные раннеры сборки часто работают с секретами и создают артефакты для production, но при этом не получают такого же мониторинга, как другие критически важные системы.

Агент может сформировать для каждого задания базовый список ожидаемых исходящих подключений и отмечать новые адреса назначения. В тарифе Community также можно ограничивать исходящий трафик с помощью списка разрешённых доменов и применять глобальный список блокировки доменов и IP-адресов, связанных с активными атаками на цепочки поставок. Раннеры Linux поддерживаются полностью, а для Windows и macOS доступен только режим аудита.

Для self-hosted-раннеров, приватных репозиториев, централизованных политик, интеграции с SIEM и оповещений требуется платный тариф Enterprise. Возможности Community бесплатны для публичных репозиториев на раннерах GitHub-hosted.

Ключевые возможности

  • 01Связывает каждое исходящее сетевое подключение, операцию записи файла и запуск процесса с шагом workflow, в котором они произошли.
  • 02Формирует базовый список исходящих подключений для каждого задания и отмечает новые адреса назначения.
  • 03Ограничивает исходящий трафик с помощью списка разрешённых доменов в режиме блокировки.
  • 04Применяет глобальный список блокировки доменов и IP-адресов, связанных с активными атаками на цепочки поставок.
  • 05Поддерживает раннеры GitHub-hosted на Linux, Windows и macOS; режим блокировки доступен только для Linux.
  • 06В тарифе Enterprise поддерживаются self-hosted-раннеры, в том числе ARC.

Сценарии использования

  • Выявление скомпрометированных сторонних GitHub Actions, которые похищают секреты во время сборки.
  • Аудит внешних хостов, к которым обращается CI-пайплайн, перед ужесточением правил для исходящего трафика.
  • Мониторинг пайплайнов сборки open-source-проектов, публикующих артефакты для пользователей.
  • Сокращение разрешений GITHUB_TOKEN до минимально необходимых workflow.

Быстрый старт

  1. 1

    Добавьте Harden-Runner первым шагом в каждом задании файла workflow GitHub Actions

  2. 2

    Запустите workflow, затем откройте ссылку в журнале задания, чтобы просмотреть сетевые события и события файлов

Что важно знать

  • Бесплатный тариф Community распространяется только на публичные репозитории, использующие раннеры GitHub.
  • Для приватных репозиториев и собственных раннеров требуется платная подписка Enterprise.
  • Работает только в workflow GitHub Actions, но не в других системах CI/CD.

В подборках

Фреймворки тестирования и инструменты автоматизации тестов

Темы

#github-actions#ci-cd#supply-chain-security#runtime-security#egress-filtering#network-security#actions#hardening#runners#security-hardening

Частые вопросы

Что такое harden-runner?
Агент безопасности для CI/CD, который отслеживает исходящие сетевые подключения, запись файлов и активность процессов на раннерах GitHub Actions, чтобы выявлять атаки на цепочки поставок. Harden-Runner — агент безопасности, который запускается внутри заданий CI/CD и работает как средство обнаружения угроз на раннерах GitHub Actions. Он записывает исходящие сетевые подключения, операции записи файлов и запуски процессов, связывая каждое событие с конкретным шагом, заданием и workflow. Это помогает закрыть пробел в защите: временные раннеры сборки часто работают с секретами и создают артефакты для production, но при этом не получают такого же мониторинга, как другие критически важные системы.
harden-runner можно использовать бесплатно? Какая у него лицензия?
harden-runner распространяется с открытым исходным кодом под лицензией Apache-2.0. Перед использованием в коммерческих продуктах проверьте условия лицензии.
harden-runner всё ещё поддерживается?
Активно поддерживается. Последний коммит в harden-runner — 19 окт. 2026 г..
Для чего можно использовать harden-runner?
Выявление скомпрометированных сторонних GitHub Actions, которые похищают секреты во время сборки. Аудит внешних хостов, к которым обращается CI-пайплайн, перед ужесточением правил для исходящего трафика. Мониторинг пайплайнов сборки open-source-проектов, публикующих артефакты для пользователей. Сокращение разрешений GITHUB_TOKEN до минимально необходимых workflow.
Как установить harden-runner?
Добавьте Harden-Runner первым шагом в каждом задании файла workflow GitHub Actions Запустите workflow, затем откройте ссылку в журнале задания, чтобы просмотреть сетевые события и события файлов
Где скачать harden-runner?
Исходный код и инструкции по установке — на GitHub: https://github.com/step-security/harden-runner

Описание создано ИИ на основе README проекта. Статистика GitHub обновляется ежедневно.

Похожие проекты