Das Open-Source-Projekt Anteater ergänzt CI/CD-Pipelines um eine regelbasierte Sicherheitsprüfung. Die Anwendung durchsucht Änderungen und Projektverzeichnisse nach Zeichenfolgen, Dateinamen, Binärdateien, veralteten Funktionen sowie versehentlich hinterlegten Zugangsdaten. Die offizielle Dokumentation beschreibt Anteater als Gate, das vor dem Zusammenführen eines Pull Requests ausgeführt werden kann.
Die Filter verwenden reguläre Ausdrücke. Teams legen damit fest, welche Muster nicht in einen Build gelangen dürfen, etwa private Schlüssel, Cloud-Zugangsdaten oder aktivierte Debug-Konfigurationen. Findet Anteater einen Treffer, beendet das Werkzeug den Lauf mit einem Fehlercode. Die Pipeline kann den Build dadurch stoppen, bevor eine problematische Änderung in den gemeinsamen Branch übernommen wird.
Anbindung an vorhandene Build-Systeme
Anteater lässt sich laut Projektbeschreibung in Travis CI, CircleCI, GitLab CI/CD und Jenkins einbinden. Neben einzelnen Änderungen kann das Werkzeug komplette Projektverzeichnisse rekursiv untersuchen. Ausnahmen werden ebenfalls über reguläre Ausdrücke beschrieben, damit bekannte und bewusst freigegebene Treffer den Build nicht blockieren.
Für Spieleproduktionen ist der Ansatz vor allem dort interessant, wo Quellcode, Build-Skripte und Produktionsdaten über viele Teams und automatisierte Teststufen laufen. Die Prüfung ersetzt keine Codeanalyse, kann aber einfache Geheimnislecks und versehentlich aktivierte Entwicklungsoptionen früh in der Build-Kette abfangen. Der grundlegende Einsatz folgt damit der bereits beschriebenen DevOps-Toolchain für Planung und Fehlerdiagnose.
Quellcode und Dokumentation
Der Quellcode steht im öffentlichen GitHub-Repository. Die Projektseite nennt außerdem eine optionale Anbindung an VirusTotal, über die gefundene Binärdateien, öffentliche IP-Adressen oder URLs geprüft werden können. Anteater wurde unter anderem im Umfeld der Linux-Foundation-Initiative OPNFV eingesetzt und blieb als eigenständiges Werkzeug auf die konfigurierbaren Prüfregeln fokussiert.