시크릿
Secret Scanning이란?
동의어: Secret Detection · Credential Scanning · 시크릿 스캐닝 · 시크릿 탐지 · 크리덴셜 스캐닝 · 시크릿 검출
시크릿 스캐닝은 연결된 코드·문서·메시지·저장소에서 노출된 자격증명과 시크릿을 찾는 작업입니다. 탐지 결과만으로 키의 유효성이나 악용 여부가 증명되지는 않습니다. 일부 유형은 발급처에서 유효성을 확인할 수 있고, 나머지는 사람이 검토해야 합니다. Cremit은 설정된 리포와 협업 도구 등을 검사하며, 지원되는 외부 발견 자산은 조직 설정에 따라 모니터링하며 명시적으로 제외한 자산은 건너뜁니다.
시크릿 카테고리의 다른 용어
- Credential자격증명(credential)은 시스템이 신원을 인증하거나 접근을 허용할 때 받아들이는 정보입니다. 비밀번호, API 키, 액세스 토큰, 인증에 쓰는 개인키가 예시입니다. 시크릿은 비밀로 관리해야 하는 정보를 뜻합니다. 두 용어는 겹치지만 모든 시크릿이 자격증명은 아니며, JWT도 서비스가 접근에 사용할 때 자격증명이 됩니다.
- Secret Sprawl시크릿 스프롤은 자격증명과 시크릿이 리포, CI 설정, 문서, 메시지 등에 흩어져 있고 소유자나 위치를 파악하기 어려운 상태입니다. 키를 교체할 때는 그 값을 사용하는 시스템과 노출될 수 있는 복사본을 찾아야 합니다. 복사본 수만으로 키의 접근 권한이 결정되지는 않습니다.
- Credential Leakage자격증명 노출은 비밀번호·키·토큰이 원래 허용된 범위 밖에서 볼 수 있게 된 상태입니다. 공개 커밋, 로그, 클라이언트 번들이 예시입니다. 스캐너가 과거 노출을 발견할 수도 있어, 탐지만으로 현재 유효성이나 악용 여부가 확인되지는 않습니다. 증거를 기록하고 유효성과 접근 범위를 확인하되, 살아 있는 노출 자격증명은 지체 없이 차단하고 발급처 로그를 살펴야 합니다.