한눈에 보기
| 항목 | TruffleHog | Cremit |
|---|---|---|
| 검증 | 합니다. 탐지한 자격증명을 발급처에 확인합니다 | 합니다. 같은 원리를 연결된 모든 소스에 적용합니다 |
| 라이선스와 비용 | 오픈소스 무료, 상용 에디션 별도 | 14일 체험 후 유료 플랜 |
| 보는 범위 | 지정한 곳. git 히스토리, 파일시스템, S3 등 | 연결된 소스를 상시 스캔. 코드 호스트, 오브젝트 스토리지, Slack·Jira·Confluence·Notion, 클라우드 IAM |
| 누가 돌리나 | 직접. CLI나 CI 잡, 자체 스케줄러 | 서비스로 돌아갑니다. 호스팅하거나 스케줄링할 것이 없습니다 |
| 실행 사이의 상태 | 따로 저장 구조를 만들지 않으면 실행마다 결과가 따로입니다 | 인벤토리가 남아 무엇이 새로 생기고 무엇이 바뀌었는지 보입니다 |
| 소유자 | 추적하지 않습니다 | 자격증명마다 소유자가 매핑됩니다 |
| 교체 | 범위 밖입니다 | 교체와 퇴사자 폐기가 들어 있습니다 |
| 한국 시장 | 영어 프로젝트와 커뮤니티 | 한국어 제품, ISMS-P 대응, 국내 지원 |
제품으로 돌 때 달라지는 것
TruffleHog은 스캔 자체를 아주 잘합니다. 아래는 그 주변에 있는 일들입니다.
코드 밖까지
Jira 티켓이나 Confluence 문서에 있는 자격증명은 git에 없습니다. Cremit은 그 자리들을 저장소와 함께 한 번에 봅니다.
계속 돕니다
스캔은 한 시점의 사진입니다. 상시로 돌면 누군가 생각날 때까지 기다리지 않고 답이 계속 최신으로 유지됩니다.
건마다 소유자가 붙습니다
조치에서 가장 오래 걸리는 일은 대개 이 키가 누구 것인지 알아내는 일입니다. 소유자가 붙으면 보낼 곳이 정해집니다.
탐지가 교체로 이어집니다
별도 절차로 넘기지 않고 같은 제품 안에서 교체와 폐기가 이루어집니다.
튜닝 부담이 없습니다
탐지기 업데이트와 노이즈 처리, 인프라 운영은 저희 몫이지 그쪽 엔지니어의 일이 아닙니다.
TruffleHog을 이기기 어려운 자리
TruffleHog은 정말 좋고, 무료입니다. 아닌 척하기보다 그렇게 적는 편이 낫습니다.
검증을 공개적으로 개척했습니다
탐지한 값을 발급처에 물어보는 것은 이 분야에서 노이즈를 줄이는 가장 큰 한 수이고, 그게 이제 기본으로 여겨지는 건 TruffleHog 덕분입니다.
무료이고 열려 있습니다
라이선스도 구매 절차도 없고, 탐지기가 어떻게 동작하는지 그대로 읽어볼 수 있습니다.
어디에나 겨눌 수 있습니다
로컬 디렉터리, CI 단계, 방금 넘겨받은 서버의 일회성 점검까지. 이 유연함은 호스팅 제품이 따라가기 어렵습니다.
넓은 탐지기
커뮤니티가 활발히 기여하는 크고 잘 관리되는 탐지기 모음입니다.
데이터가 밖으로 나가지 않습니다
외부로 아무것도 보낼 수 없는 팀에게는 직접 돌리는 것이 유일하게 받아들일 수 있는 답인 경우가 있습니다.
어느 쪽이 맞습니까?
TruffleHog이 맞는 경우
- -돌리고 다듬고 조치할 엔지니어가 있다.
- -스캔 범위가 한정적이다. 저장소 하나, CI 한 단계, 일회성 점검.
- -자체 인프라 밖으로 아무것도 나갈 수 없다.
- -예산이 가장 큰 제약이다.
Cremit이 맞는 경우
- -자격증명이 코드뿐 아니라 협업 도구와 스토리지에 흩어져 있다.
- -누가 크론 잡을 맡지 않아도 답이 계속 최신이어야 한다.
- -건마다 소유자가 붙고 교체까지 한자리에서 끝나야 한다.
- -탐지기와 스캔 인프라를 직접 관리하고 싶지 않다.
- -한국어 제품과 ISMS-P 대응이 필요하다.
Cremit이 작성했습니다. TruffleHog은 오픈소스이고 무료이며, 그 검증 방식은 저희 제품이 서 있는 것과 같은 원리입니다. 저희가 만들어낸 개념이라고 주장하지 않습니다. TruffleHog만 돌려도 충분한 팀이 많습니다. 이 페이지는 탐지 품질이 아니라 범위와 운영에 대한 것입니다. 틀렸거나 오래된 내용이 있으면 hello@cremit.io로 알려주십시오.
다른 비교 보기
주요 NHI 보안 플랫폼과 Cremit을 항목별로 비교한 다른 페이지입니다.