시크릿 스캐닝 오탐: 결과 검토 가이드

시크릿 스캐너가 테스트용 예시 토큰이나 무작위 문자열을 자격증명으로 잘못 잡는 경우가 있습니다. 이것이 탐지 오탐입니다. 반면 만료되거나 폐기된 실제 자격증명은 탐지 자체는 맞지만 현재 위험도가 다릅니다. 두 경우를 구분해야 적절한 후속 조치를 정할 수 있습니다.

탐지 결과에 잡음이 생기는 이유

발급처마다 정해진 접두사와 형식이 있는 토큰은 비교적 정확히 식별할 수 있습니다. 일반 패턴은 문맥이 부족해 해시, 식별자, 예시 문자열과 겹칠 수 있습니다. 파일 경로와 주변 코드도 살펴봐야 합니다. 문서의 값과 운영 설정 파일의 값은 검토 순서가 다를 수 있지만, 위치만으로 안전하다고 판단할 수는 없습니다.

GitHub는 자격증명 유형별 검증 지원 여부를 공개하고, 일반 패턴에는 유효성 검사를 지원하지 않는다고 명시합니다. GitGuardian도 애초에 시크릿이 아니었던 탐지 오탐과 현재 유효하지 않은 실제 자격증명을 구분합니다. 두 경우를 모두 ‘오탐’이라고 부르면 대응 기준이 흐려집니다.

유효성 검사로 알 수 있는 것

검증을 지원하는 유형이라면 발급 서비스에 확인해 현재 사용 가능한지 또는 폐기됐는지 판단할 수 있습니다. 다만 서비스 장애, IP 제한, 안전한 검사 방법의 부재로 결과가 나오지 않을 수도 있습니다. ‘확인할 수 없음’은 ‘무효’가 아닙니다. GitGuardian은 이 차이를 반영해 유효, 무효, 검사 실패, 검사 불가, 미확인 상태를 따로 표시합니다.

유효성만으로 위험이 모두 설명되지는 않습니다. 공개 저장소에 있는 살아 있는 토큰은 우선 대응해야 합니다. 이미 폐기된 토큰도 노출 시점과 폐기 전 사용 여부를 확인할 필요가 있습니다. 검증하지 못한 항목은 자동으로 안전하다고 처리하지 말고 검토 대상으로 남겨야 합니다.

점검 순서

먼저 같은 값이 여러 곳에서 발견됐는지 묶고 발견 위치와 최초 노출 시점을 보존합니다. 다음으로 유형을 확인하고 지원되는 유효성 검사 결과가 있는지 봅니다. 공개되거나 널리 공유된 위치의 살아 있는 자격증명을 우선 처리하세요. 미검증 항목은 형식, 주변 문맥, 권한 범위, 담당자, 노출 이력을 함께 살펴봅니다. 예시 값은 명시적으로 표시하고 넓은 파일 경로나 규칙 전체를 무작정 제외하지 않는 편이 좋습니다.

실제 자격증명이 노출됐다면 발급 서비스의 담당자가 폐기하거나 교체하고 사용 이력을 확인해야 합니다. 변경 뒤에는 노출 위치를 다시 점검하세요. 검증 요청이 실패했다는 이유만으로 항목을 닫거나, 알림이 적다는 이유만으로 누락이 없다고 판단해서는 안 됩니다.

Cremit에서는 어떻게 보이나

Cremit은 연결한 소스에서 지원하는 자격증명 패턴을 찾습니다. 조직에서 외부 스캐닝을 사용하면 지원되는 발견 자산은 개별 승인 전에도 모니터링 대상에 들어갈 수 있으며, 명시적으로 제외한 자산은 건너뜁니다. 공개 콘텐츠의 시크릿 검사는 별도 설정과 범위 제한을 따릅니다. 지원 유형의 발급처 유효성 결과는 노출 위치와 구분해 표시하고, 검증하지 못한 항목도 검토 대상으로 남깁니다. 키 교체나 폐기는 담당자가 발급처에서 수행합니다.