Eingebaute Regeln

Der Sensitive Data Scanner liefert 75 eingebaute Erkennungsregeln, alle standardmässig aktiv. Jede Regel lässt sich je Installation im Regelkatalog deaktivieren oder wieder aktivieren, und eigene Regeln können daneben ergänzt werden.

Einige Regeln treffen Formate, die so breit sind, dass ihre Trefferquote von der Jira-Instanz abhängt - Postadressen, IP-Adressen, Mitarbeiternummern, nationale Kennnummern, inländische Bankkonten, Aufenthaltsbewilligungen. Begräbt eine davon auf Ihren Inhalten die echten Secrets unter False Positives, deaktivieren Sie sie im Regelkatalog.

Vorrang zwischen Regeln

• Provider-spezifische Treffer für Zugangsdaten haben Vorrang vor generischen Zuweisungen und High-Entropy-Kandidaten, wenn sich ihre Bereiche überschneiden. Ein AWS-Schlüssel wird als AWS-Schlüssel gemeldet, nicht als "High entropy token".
• Die Regeln für Schweizer QR-IBAN, Schweizer IBAN, Schweizer Ausweisdokument-MRZ und Schweizer Telefonnummern haben Vorrang vor ihren generischen Gegenstücken.

Prüfungen über den Regex hinaus

Mehrere Regeln prüfen mehr als eine Form, damit eine nur passend aussehende Nummer nicht gemeldet wird:

• Schweizer AHV/AVS-Nummern erfordern das Präfix 756 und eine gültige EAN-13-Prüfziffer.
• Schweizer QR-Referenzen erfordern die rekursive Modulo-10-Prüfziffer.
• Schweizer QR-IBANs erfordern zusätzlich eine QR-IID im reservierten Bereich 30000-31999.

Regelversionierung

Eingebaute Regeln sind versioniert und unveränderlich. Ein neues Release hängt eine neue Regelversion an, statt die alte zu ändern, und behält die vom Administrator getroffene Aktiv/Inaktiv-Wahl bei.

Eine Folge ist wichtig zu wissen: Das Ein- oder Ausschalten einer eingebauten Regel hängt eine eigene Version an, wodurch ihre Versionsnummer über die des ausgelieferten Katalogs steigt. Der Abgleich beim Start hängt nur dann an, wenn die Katalogversion höher ist als die gespeicherte - eine von Ihnen umgeschaltete eingebaute Regel übernimmt Katalogaktualisierungen daher nicht mehr automatisch. Das Regeldetail zeigt die vollständige Versionshistorie, und Sie können auf jede frühere Version zurückrollen.

Eingebaute Regeln lassen sich ohne Testlauf aktivieren - ihre Regexe sind vorab validiert und durch Tests abgedeckt. Die Pflicht, vor der Aktivierung zu testen, gilt nur für eigene Regeln.

Der Katalog

Kern-Secret-Muster

6 Regeln.

Regel	ID	Kategorie	Schweregrad
AWS access key candidate	secret.aws-access-key-candidate	Secret	High
Bearer token candidate	secret.bearer-token-candidate	Secret	High
PEM private key block	secret.pem-private-key-block	Secret	Critical
JWT candidate	secret.jwt-candidate	Secret	High
Password assignment	secret.password-assignment	Secret	Medium
High entropy token candidate	secret.high-entropy-token-candidate	Secret	Medium

Kern-Personendaten-Muster

2 Regeln.

Regel	ID	Kategorie	Schweregrad
Email address	pii.email-address	PII	Low
Phone number candidate	pii.phone-number-candidate	PII	Low

Kern-Finanzmuster

5 Regeln.

Regel	ID	Kategorie	Schweregrad
IBAN candidate	financial.iban-candidate	Financial	Medium
Credit card candidate	financial.credit-card-candidate	Financial	High
BIC/SWIFT code candidate	financial.bic-candidate	Financial	Low
US ABA routing number candidate	financial.us-routing-number-candidate	Financial	Medium
Crypto wallet address candidate	financial.crypto-wallet-candidate	Financial	Medium

Kern-Telekommunikationsmuster

4 Regeln.

Regel	ID	Kategorie	Schweregrad
IMEI candidate	telecom.imei-candidate	Telecom	Medium
SIM ICCID candidate	telecom.iccid-candidate	Telecom	Medium
MAC address candidate	telecom.mac-address-candidate	Telecom	Low
SIP URI candidate	telecom.sip-uri-candidate	Telecom	Low

Provider-Zugangsdaten

29 Regeln.

Regel	ID	Kategorie	Schweregrad
AWS secret access key	credential.aws-secret-access-key	Credential	Critical
AWS session token	credential.aws-session-token	Credential	Critical
GitHub token	credential.github-token	Credential	Critical
GitLab token	credential.gitlab-token	Credential	Critical
Slack token	credential.slack-token	Credential	High
Slack webhook	credential.slack-webhook	Credential	High
Stripe secret key	credential.stripe-secret-key	Credential	Critical
Stripe test key	credential.stripe-test-key	Credential	Low
Google API key	credential.google-api-key	Credential	High
GCP service account private key	credential.gcp-service-account	Credential	Critical
Azure storage key	credential.azure-storage-key	Credential	Critical
Azure SAS token	credential.azure-sas-token	Credential	High
SendGrid API key	credential.sendgrid-api-key	Credential	Critical
npm access token	credential.npm-access-token	Credential	High
PyPI API token	credential.pypi-api-token	Credential	High
OpenAI API key	credential.openai-api-key	Credential	Critical
Hugging Face token	credential.huggingface-token	Credential	High
Twilio API key	credential.twilio-api-key	Credential	High
Mailgun API key	credential.mailgun-api-key	Credential	High
Shopify access token	credential.shopify-access-token	Credential	High
DigitalOcean token	credential.digitalocean-token	Credential	High
Telegram bot token	credential.telegram-bot-token	Credential	High
Discord credential	credential.discord-token	Credential	High
Cloudflare API token	credential.cloudflare-token	Credential	High
Atlassian API token	credential.atlassian-api-token	Credential	High
Database URI with password	credential.database-uri	Credential	Critical
Basic-auth URL	credential.basic-auth-url	Credential	High
Docker registry auth	credential.docker-config-auth	Credential	Critical
Kubernetes Secret	credential.kubernetes-secret	Credential	High

Generische Secret-Zuweisungen

4 Regeln.

Regel	ID	Kategorie	Schweregrad
API key assignment	secret.generic-api-key-assignment	Secret	High
Client secret assignment	secret.generic-client-secret-assignment	Secret	High
Token assignment	secret.generic-token-assignment	Secret	High
Crypto seed phrase	secret.crypto-seed-phrase	Secret	Critical

Erweiterte Personendaten

11 Regeln.

Regel	ID	Kategorie	Schweregrad
US Social Security number	pii.us-social-security-number	PII	High
National identifier candidate	pii.national-identifier-candidate	PII	High
Passport MRZ	pii.passport-mrz	PII	High
Date of birth	pii.date-of-birth	PII	Medium
IP address	pii.ip-address	PII	Low
Physical address	pii.physical-address	PII	Low
GPS coordinate	pii.gps-coordinate	PII	Medium
Medical record number	pii.medical-record-number	PII	High
Health insurance identifier	pii.health-insurance-identifier	PII	High
Employee identifier	pii.employee-identifier	PII	Low
Vehicle identification number	pii.vehicle-identification-number	PII	Medium

Erweiterte Finanzdaten

3 Regeln.

Regel	ID	Kategorie	Schweregrad
Domestic bank account	financial.domestic-bank-account	Financial	Medium
Tax identifier	financial.tax-identifier	Financial	Medium
Card security code	financial.card-security-code	Financial	High

Erweiterte Telekommunikation

3 Regeln.

Regel	ID	Kategorie	Schweregrad
IMSI candidate	telecom.imsi-candidate	Telecom	Medium
eSIM EID candidate	telecom.esim-eid-candidate	Telecom	Medium
MSISDN candidate	telecom.msisdn-contextual	Telecom	Low

Schweiz-spezifisch

8 Regeln.

Regel	ID	Kategorie	Schweregrad
Swiss AHV/AVS number	pii.ch-ahv-number	PII	High
Swiss identity document MRZ	pii.ch-identity-document-mrz	PII	High
Swiss or Liechtenstein IBAN	financial.ch-iban	Financial	Medium
Swiss QR-IBAN	financial.ch-qr-iban	Financial	Medium
Swiss QR reference	financial.ch-qr-reference	Financial	Low
Swiss phone number	pii.ch-phone-number	PII	Low
Swiss address	pii.ch-address	PII	Low
Swiss residence permit	pii.ch-residence-permit	PII	Medium

Was bewusst keine Regel ist

Die Schweizer UID/MWST-Nummer (CHE-... mit MWST, TVA oder IVA) ist eine öffentliche Unternehmenskennung und keine sensible Angabe; sie fehlt daher absichtlich im Sicherheitskatalog.

Den Katalog erweitern

• Eigene Regeln - eigenen Regex schreiben, gegen positive und negative Beispiele testen, dann aktivieren.
• Regelsatz-Transfer - eigene Regeln zwischen Umgebungen bewegen.