한눈에 보기
| 항목 | TruffleHog | Cremit |
|---|---|---|
| 검증 | 합니다. 탐지한 자격증명을 발급처에 확인합니다 | 동일. 같은 원리를 연결된 모든 소스에 적용 |
| 라이선스와 비용 | 오픈소스 무료, 상용 에디션 별도 | 무료 플랜 + 엔터프라이즈 라이선스 |
| 보는 범위 | 지정한 곳. git 히스토리, 파일시스템, S3 등 | 연결된 소스 10종 주기 스캔: GitHub·GitLab·Bitbucket·GitHub Packages·AWS S3·Google Drive·Jira·Confluence·Notion·Slack. GitHub pull request는 실시간 스캔 |
| 누가 돌리나 | 직접. CLI나 CI 잡, 자체 스케줄러 | 서비스로 운영. 호스팅이나 스케줄링 불필요 |
| 실행 사이의 상태 | 따로 저장 구조를 만들지 않으면 실행마다 결과가 따로입니다 | 인벤토리가 유지되어 새로 생긴 것과 바뀐 것 확인 가능 |
| 소유자 | 추적하지 않습니다 | 건마다 소유자·담당자 지정. SCIM·Google Workspace 동기화로 퇴사자 Ghost Key 표시 |
| 교체 | 범위 밖입니다 | 자동 교체·폐기 없음. 살아 있는 키 여부, AWS·GCP 키 영향 범위, AWS Secrets Manager 로테이션 나이, 퇴사자 Ghost Key 표시 |
| 한국 시장 | 영어 프로젝트와 커뮤니티 | 한국어 제품, ISMS-P 대응, 국내 지원 |
제품으로 돌 때 달라지는 것
TruffleHog은 스캔 자체를 아주 잘합니다. 아래는 그 주변에 있는 일들입니다.
코드 밖까지
Jira 티켓이나 Confluence 문서에 있는 자격증명은 git에 없습니다. Cremit은 그 자리들을 저장소와 함께 연결해 같은 인벤토리에 담습니다.
계속 돕니다
스캔은 한 시점의 사진입니다. 주기 스캔에 더해 살아 있는 키를 약 6시간마다 재검증하므로, 누군가 생각날 때까지 기다리지 않아도 답이 계속 최신으로 유지됩니다.
건마다 소유자가 붙습니다
조치에서 가장 오래 걸리는 일은 대개 이 키가 누구 것인지 알아내는 일입니다. Cremit이 소유자를 붙여 주므로 건마다 보낼 곳이 정해집니다.
탐지가 조치로 이어집니다
키 교체는 직접 해야 합니다. 대신 Cremit은 살아 있는 건마다 영향 범위(AWS·GCP 키)와 소유자, 종료까지의 상태를 MTTD·MTTR과 함께 보여 주므로 교체가 별도 절차가 아니라 추적되는 한 단계가 됩니다.
튜닝 부담이 없습니다
탐지기 업데이트와 노이즈 처리, 인프라 운영은 저희 몫이지 그쪽 엔지니어의 일이 아닙니다.
TruffleHog을 이기기 어려운 자리
TruffleHog은 정말 좋고, 무료입니다. 아닌 척하기보다 그렇게 적는 편이 낫습니다.
검증을 공개적으로 개척했습니다
탐지한 값을 발급처에 물어보는 것은 이 분야에서 노이즈를 줄이는 가장 큰 한 수이고, 그게 이제 기본으로 여겨지는 건 TruffleHog 덕분입니다.
무료이고 열려 있습니다
라이선스도 구매 절차도 없고, 탐지기가 어떻게 동작하는지 그대로 읽어볼 수 있습니다.
어디에나 겨눌 수 있습니다
로컬 디렉터리, CI 단계, 방금 넘겨받은 서버의 일회성 점검까지. 이 유연함은 호스팅 제품이 따라가기 어렵습니다.
넓은 탐지기
커뮤니티가 활발히 기여하는 크고 잘 관리되는 탐지기 모음입니다.
데이터가 밖으로 나가지 않습니다
외부로 아무것도 보낼 수 없는 팀에게는 직접 돌리는 것이 유일하게 받아들일 수 있는 답인 경우가 있습니다.
어느 쪽이 맞습니까?
TruffleHog이 맞는 경우
- -돌리고 다듬고 조치할 엔지니어가 있는 팀
- -스캔 범위가 한정적인 경우. 저장소 하나, CI 한 단계, 일회성 점검
- -자체 인프라 밖으로 아무것도 내보낼 수 없는 환경
- -예산이 가장 큰 제약인 상황
Cremit이 맞는 경우
- -자격증명이 코드뿐 아니라 협업 도구와 스토리지에 흩어져 있는 환경
- -크론 잡을 맡는 사람 없이도 답이 계속 최신이어야 하는 경우
- -건마다 소유자·영향 범위·조치 상태가 한자리에 붙어야 하는 경우
- -탐지기와 스캔 인프라를 직접 관리하고 싶지 않은 팀
- -한국어 제품과 ISMS-P 대응이 필요한 조직
Cremit이 작성했습니다. TruffleHog은 오픈소스이고 무료이며, 그 검증 방식은 저희 제품이 딛고 선 원리와 같습니다. 저희가 만들어낸 개념이라고 주장하지 않습니다. TruffleHog만 돌려도 충분한 팀이 많습니다. 이 페이지는 탐지 품질이 아니라 범위와 운영에 대한 것입니다. 틀렸거나 오래된 내용이 있으면 hello@cremit.io로 알려주십시오.
다른 비교 보기
주요 NHI 보안 플랫폼과 Cremit을 항목별로 비교한 다른 페이지입니다.