secret scanning 정보
Secret scanning은(는) 리포지토리에서 API 키, 암호, 토큰 및 기타 비밀과 같은 중요한 정보가 실수로 포함되는 것을 감지하고 방지하는 데 도움이 되는 보안 기능입니다. 사용하도록 설정하면 secret scanning은(는) 검색 시 알려진 유형의 비밀 및 경고 리포지토리 관리자에 대한 리포지토리의 커밋을 검색합니다.
Secret scanning는 리포지토리가 보관된 경우에도 GitHub 리포지토리에 있는 모든 분기에서 전체 Git 기록을 검사하여 비밀를 검색합니다.. GitHub은 GitHub Advanced Security 리포지토리에서 secret scanning에서 기존 콘텐츠에 대한 전체 Git 기록 검사를 주기적으로 실행합니다.
또한 secret scanning은(는) 다음을 검사합니다.
- 문제의 설명 및 주석
- 과거 미결 및 종결 문제의 제목, 설명 및 주석
- 끌어오기 요청의 제목, 설명 및 주석
- GitHub Discussions
Note
끌어오기 요청과, GitHub Discussions는 현재 베타 버전이며 변경될 수 있습니다.
지원되는 비밀이 유출되면 GitHub Enterprise Server에서 secret scanning 경고를 생성합니다. 경고는 GitHub Enterprise Server에 있는 리포지토리의 보안 탭에서 보고되며, 여기서 경고를 보고 평가하고 해결할 수 있습니다. 자세한 내용은 비밀 검사에서 경고 관리을(를) 참조하세요.
에서 지원하는 비밀 및 서비스 공급자에 대한 자세한 내용은 지원되는 비밀 검사 패턴을(를) 참조하세요.
REST API를 사용하여 리포지토리 또는 조직 전체에서 secret scanning 결과를 모니터링할 수 있습니다. API 엔드포인트에 대한 자세한 내용은 비밀 검사를 위한 REST API 엔드포인트을(를) 참조하세요.
보안 개요를 사용하여 secret scanning이(가) 사용 설정된 리포지토리 및 찾은 경고에 대한 조직 수준 보기를 볼 수 있습니다. 자세한 내용은 보안 개요을(를) 참조하세요.
GitHub 도구를 사용하여 secret scanning 경고에 대한 응답으로 수행된 작업을 감사할 수 있습니다. 자세한 내용은 "보안 경고 감사"을(를) 참조하세요.
secret scanning 작동 방법
다음은 secret scanning의 작동 방식을 설명하는 일반적인 워크플로입니다.
-
검색: Secret scanning은(는) 리포지토리의 콘텐츠에서 API 키, 암호, 토큰 및 기타 비밀과 같은 중요한 데이터를 자동으로 검색합니다. 알려진 비밀 유형과 일치하는 패턴 및 추론을 찾습니다.
-
경고: 잠재적 비밀이 검색되면 GitHub에서 경고를 생성하고 관련 리포지토리 관리자 및 사용자에게 알릴 수 있습니다. 이 알림에는 리포지토리의 위치와 같이 검색된 비밀에 대한 세부 정보가 포함됩니다. 경고 유형 및 경고 세부 정보에 대한 자세한 내용은 비밀 검사 경고 정보을(를) 참조하세요.
-
검토: 비밀이 검색되면 제공된 경고 세부 정보를 검토해야 합니다.
-
수정: 노출을 수정하려면 적절한 조치를 취해야 합니다. 더 이상 사용할 수 없도록 영향을 받는 자격 증명을 회전하는 작업이 항상 포함됩니다. 또한 리포지토리의 기록에서 비밀을 제거하는 것도 포함될 수 있습니다(예:
git-filter-repo와 같은 도구 사용, 자세한 내용은 Removing sensitive data from a repository(리포지토리에서 중요한 데이터 제거) 참조). 하지만 막대한 시간과 노력이 소요될 수 있으며 자격 증명이 해지된 경우 일반적으로 불필요합니다. -
모니터링: 리포지토리를 정기적으로 감사하고 모니터링하여 다른 비밀이 노출되지 않도록 하는 것이 좋습니다.
secret scanning 혜택 정보
-
향상된 보안: Secret scanning은 리포지토리에서 API 키, 암호, 토큰 및 기타 비밀과 같은 중요한 정보를 검색합니다. 이러한 위험을 조기에 감지하면 악의적인 행위자가 악용하기 전에 잠재적인 보안 위험을 완화할 수 있습니다.
-
자동화된 검색: 이 기능은 커밋, 문제, 끌어오기 요청을 포함하여 코드베이스를 자동으로 검색하여 수동 개입 없이 지속적인 보호를 보장합니다. 이 자동화는 리포지토리가 발전함에 따라 보안을 유지하는 데 도움이 됩니다.
-
실시간 경고: 비밀이 검색되면 secret scanning은 리포지토리 관리자 및 참가자에게 실시간 경고를 제공합니다. 이 즉각적인 피드백을 통해 신속한 수정 작업을 수행할 수 있습니다.
-
사용자 지정 패턴 지원: 조직은 사용자 지정 패턴을 정의하여 기본 패턴에서 다루지 않을 수 있는 독점 또는 고유한 유형의 비밀을 검색할 수 있습니다. 이러한 유연성을 통해 사용자 환경과 관련된 맞춤형 보안 조치를 수행할 수 있습니다.
-
비 공급자 패턴 검색 기능: 리포지토리 또는 조직에 대한 연결 문자열, 인증 헤더, 프라이빗 키와 같은 비 공급자 패턴을 포함하도록 검색을 확장할 수 있습니다.
secret scanning 사용자 지정
secret scanning을(를) 사용하도록 설정하면 추가로 사용자 지정할 수 있습니다.
공급자가 아닌 패턴 검색
프라이빗 키 및 일반 API 키와 같이 서비스 공급자와 관련이 없는 비밀을 검색하고 검색합니다. 자세한 내용은 공급자가 아닌 패턴에 대해 비밀 스캔 사용을(를) 참조하세요.
유효성 검사 수행
유효성 검사는 비밀이 active인지 아니면 inactive인지를 알려 경고의 우선 순위를 지정하는 데 도움을 줍니다. 자세한 내용은 비밀 검사에서 경고 평가을(를) 참조하세요.
사용자 지정 패턴 정의
secret scanning에서 검색하고 검색할 수 있는 조직에서 사용하는 비밀에 대한 고유한 패턴을 정의합니다. 자세한 내용은 비밀 검사를 위한 사용자 지정 패턴 정의을(를) 참조하세요.