시크릿 감지

가끔 사람들은 실수로 키나 API 토큰과 같은 시크릿을 Git 리포지터리에 커밋하기도 합니다. 민감한 값이 원격 리포지터리에 푸시된 후 해당 리포지터리에 액세스 할 수 있는 사람은 해당 시크릿의 권한이 있는 사용자를 가장하여 악의적인 목적으로 사용할 수 있습니다. 대부분의 조직은 노출된 시크릿을 해지하고 대처하기 위해 대체하도록 요구합니다.

시크릿 감지는 리포지터리를 스캔하여 시크릿이 노출되는 것을 방지하는 데 도움을 줍니다. 시크릿 감지 스캔은 사용된 언어나 프레임워크에 관계없이 모든 텍스트 파일에서 작동합니다.

GitLab에는 동시에 사용할 수 있는 시크릿 감지를 위한 두 가지 메서드가 있습니다:

• 파이프라인 방법은 프로젝트의 CI/CD 파이프라인 중에 시크릿을 감지합니다. 이 방법은 푸시를 거부할 수 없습니다.
• 사전 수신 방법은 사용자가 변경 사항을 원격 Git 브랜치로 푸시할 때 시크릿을 감지합니다. 이 방법은 시크릿이 감지되면 푸시를 거부할 수 있습니다.

시크릿 감지 스캔 중에 감지된 시크릿은 스캔된 파일에서 제거된 후에도 “아직 감지됨”으로 취약점 보고서에 남습니다. 이는 시크릿이 Git 리포지터리의 히스토리에 계속 남아 있기 때문입니다. 감지된 시크릿에 대한 조치를 취하고, 취약점을 진단해야 합니다.