GitHub Actions Workflow File Harvester
Definition: Ein GitHub Actions Workflow File Harvester ist ein automatisiertes Analysewerkzeug, das YAML-Workflow-Dateien aus `.github/workflows` in GitHub-Repositorys sammelt und parst. Er nutzt GitHub-API, Rohdatei- und Git-Zugriffe, um Geheimnislecks, ungeprüfte Drittanbieter-Actions und CI/CD-Schwachstellen zu erkennen – einsetzbar für Security-Audits, OSINT und offensive Aufklärung.
Was ist ein GitHub Actions Workflow File Harvester?
Ein GitHub Actions Workflow File Harvester ist ein Analysewerkzeug, das Workflow-Dateien aus GitHub-Repositorys erntet. Diese Dateien liegen typischerweise unter .github/workflows und sind in YAML verfasst. Sie definieren Build-, Test- und Deployment-Prozesse. Der Harvester sammelt diese Dateien automatisiert, reichert sie mit Metadaten an und bereitet sie für Sicherheits- oder Aufklärungsanalysen auf.
Wie funktioniert der Workflow Harvester?
Der Prozess lässt sich in mehrere Phasen zerlegen. Zuerst identifiziert das Werkzeug relevante Repositorys über GitHub-Suche oder Watchlists. Anschließend ruft es Workflow-Dateien über die GitHub-API, als Rohdateien oder über Git-Objekte ab. Danach folgt das Parsing: YAML wird in ein objektartiges Modell überführt. Abschließend werden die Daten mit Metadaten wie Repository-Historie, Mitwirkenden oder Commit-Nachrichten verknüpft.
| Phase | Technik | Ziel |
|---|---|---|
| Discovery | GitHub-Suche, Watchlists | Repository-Kandidaten finden |
| Abruf | REST API, GraphQL, Git-Objekte | Workflow-Dateien herunterladen |
| Parsing | YAML-Parser, Schemavalidierung | Strukturierte Daten erzeugen |
| Anreicherung | Metadaten-Mapping, Verknüpfungen | Kontext herstellen |
| Analyse | Regelwerke, Heuristiken | Schwachstellen erkennen |
Welche Daten sind für die Analyse besonders wertvoll?
Workflow-Dateien enthalten Build-Kommandos, Umgebungsvariablen, Branch-Schutzregeln und Verweise auf GitHub Secrets (${{ secrets.NAME }}). Geheimnislecks entstehen, wenn Entwickler Zugangsdaten direkt hartkodieren. Angreifer nutzen Harvester, um solche hartkodierten Secrets oder ungeprüfte Drittanbieter-Actions zu finden. Ein Verweis auf eine Action ohne SHA-Pinning kann eine Supply-Chain-Attacke ermöglichen.
Ein Workflow ist ausführbares Wissen über dein System. Wer die Workflows sammelt, sieht nicht nur Code, sondern die DNA der gesamten Software-Lieferkette.
Warum ist der Harvester ein Digital-Footprint-Werkzeug?
Der Harvester erweitert den digitalen Fußabdruck eines Unternehmens: CI/CD-Pipelines sind über öffentliche Repositorys einsehbare Außenflächen. Für defensive Disziplinen bedeutet das: Organisationen sollten ihre Repositories selbst nach kritischen Workflow-Dateien durchsuchen, bevor andere es tun. Penetrationstester setzen Harvester ein, um Risiken zu priorisieren. Diese Dual-Use-Technologie ist ein fester Bestandteil moderner Threat-Intelligence-Prozesse.
Grenzen und Einordnung
Die Nutzung eines Harvesters stößt an technische und rechtliche Grenzen. API-Rate-Limits begrenzen die Geschwindigkeit. Bulk-Scraping kann gegen GitHub-Nutzungsbedingungen verstoßen. Der Harvester liefert zudem nur Momentaufnahmen; Workflows sind lebende Artefakte und jede Änderung verschiebt das Risikobild.
Die Feynman-Analogie hilft, das Konzept zu durchdringen: Der Harvester gleicht einem Bibliothekar, der Karteikarten eines Archivs kopiert und querliest. Er muss wissen, wo die Karten liegen, wie er sie abruft und welche Karte auf welche Gefahr hinweist. Erst das Zusammenführen der Karteikarten erzeugt ein Muster, das mit bloßem Auge unsichtbar bliebe.
« Back to Glossary Index