GitHub 리포지토리에 암호, 비밀 키, 기밀 정보 등과 같은 민감한 정보가 포함되어 있는지 확인하십시오.
수백만 명의 사용자가 GitHub를 사용하여 코드를 호스팅하고 공유합니다. 환상적이지만 때때로 귀하/개발자/코드 소유자가 실수로 공개 저장소에 기밀 정보를 덤프할 수 있으며 이는 재앙이 될 수 있습니다.
GitHub에서 기밀 데이터가 유출된 사건이 많습니다. 인적 오류를 제거할 수는 없지만 이를 줄이기 위한 조치를 취할 수 있습니다.
리포지토리에 암호나 키가 포함되어 있지 않은지 어떻게 확인합니까?
간단한 대답 – 저장하지 마십시오.
가장 좋은 방법은 비밀 관리 소프트웨어를 사용하여 모든 민감한 정보를 저장하는 것입니다.
그러나 실제로 팀으로 일하면 다른 사람의 행동을 통제할 수 없습니다.
그러나 Git을 사용하여 애플리케이션을 초기화하고 배포하는 경우 .git 폴더가 생성되고 인터넷을 통해 액세스할 수 있는 경우 민감한 확인을 노출할 수 있습니다. 원하지 않는 경우 .git URI 차단을 고려해야 합니다.
다음 솔루션은 리포지토리에서 실수를 찾는 데 도움이 됩니다.
목차
비밀 스캐닝
GitHub의 비밀 검색 기능은 코드에 숨겨진 우발적인 비밀을 감지하여 데이터 유출 및 손상으로부터 보호하는 강력한 도구입니다. 공개 및 비공개 리포지토리 모두에서 원활하게 작동하며 구석구석을 세심하게 샅샅이 뒤져 빠져나간 비밀을 밝혀냅니다.
그러나 그 기능은 계속됩니다. 비밀이 발견되면 GitHub는 각 서비스 공급자에게 경고하여 잠재적인 위험을 신속하게 완화하도록 하는 사전 조치를 취합니다. 개인 리포지토리와 관련하여 GitHub는 조직 소유자 또는 관리자에게 알리고 팀 내의 올바른 개인이 상황을 즉시 알 수 있도록 추가 마일을 사용합니다.
지속적인 가시성을 제공하기 위해 저장소 내에 경고가 눈에 띄게 표시되어 귀하와 귀하의 팀이 즉각적인 조치를 취하도록 명확한 신호 역할을 합니다. GitHub의 비밀 스캐닝 기능은 여러분의 경계하는 동맹 역할을 하며, 어떤 비밀도 눈에 띄지 않고 프로젝트가 안전하게 유지되도록 부지런히 노력합니다.
중요한 정보가 보호된다는 사실을 알고 자신 있게 비밀 스캐닝 및 코딩의 힘을 받아들입니다.
힘내 비밀
Git 리포지토리에 실수로 비밀을 추가하는 당혹감을 피할 수 있는 도구인 git-secrets를 소개하겠습니다. 커밋, 커밋 메시지를 스캔하고 코드의 비밀 유출을 방지하기 위해 병합합니다.
Windows에서 시작하려면 install.ps1 PowerShell 스크립트를 실행하기만 하면 됩니다. 필요한 파일을 설치 디렉토리에 복사하고 사용자 PATH에 추가합니다. 이를 통해 개발 환경의 어디에서나 git-secrets에 쉽게 액세스할 수 있습니다.
일단 설치되면 git-secrets는 감시하는 보호자가 되어 커밋, 커밋 메시지 또는 병합 기록이 구성된 금지 패턴과 일치하는지 확인합니다. 일치하는 항목이 감지되면 커밋을 거부하여 민감한 정보가 틈 사이로 빠져나가는 것을 방지합니다.
저장소의 루트 디렉터리에 있는 .gitallowed 파일에 정규식 패턴을 추가하여 git-secrets를 미세 조정할 수 있습니다. 이렇게 하면 경고를 유발할 수 있지만 합법적인 줄을 걸러내어 보안과 편의성 사이에 적절한 균형을 유지하는 데 도움이 됩니다.
파일을 스캔할 때 git-secrets는 금지된 패턴과 일치하는 모든 줄을 추출하고 파일 경로, 줄 번호 및 일치하는 줄을 포함한 자세한 정보를 제공합니다. 또한 일치하는 줄이 등록된 허용 패턴과 일치하는지 확인합니다. 허용된 패턴이 플래그가 지정된 모든 행을 취소하면 커밋 또는 병합이 안전한 것으로 간주됩니다. 그러나 git-secrets는 일치하는 줄이 허용된 패턴과 일치하지 않는 경우 프로세스를 차단합니다.
git-secrets를 사용하는 동안 주의가 필요합니다. 금지된 패턴은 너무 광범위해서는 안 되며 허용된 패턴은 너무 관대해서는 안 됩니다. git secrets –scan $filename에 대한 임시 호출을 사용하여 패턴을 테스트하면 의도한 대로 작동하는지 확인할 수 있습니다.
git-secrets에 대해 자세히 알아보고 싶거나 개발에 기여하고 싶다면 GitHub에서 프로젝트를 찾을 수 있습니다. 커뮤니티 기여를 장려하는 오픈 소스 프로젝트입니다. 커뮤니티에 가입하고 차이를 만드세요!
git-secrets를 사용하면 우발적인 비밀이 프로젝트를 위험에 빠뜨리지 않는다는 것을 알고 자신 있게 코딩할 수 있습니다. 이 도구를 수용하고 민감한 정보를 안전하게 보호합시다.
레포 감독관
흥미로운 소식이 있습니다. Repo-supervisor는 코드에서 비밀과 암호를 감지하는 강력한 도구입니다. 설치는 간단합니다. GitHub 리포지토리에 웹후크를 추가하기만 하면 됩니다. Repo-supervisor는 GitHub에서 풀 요청을 스캔하거나 명령줄에서 로컬 디렉토리를 스캔하는 두 가지 모드를 제공합니다. 가장 적합한 모드를 선택하십시오.
git-secrets 여정을 시작하려면 GitHub 리포지토리를 방문하여 최신 릴리스를 다운로드하기만 하면 됩니다. 여기에서 AWS Lambda 배포 및 사용자 친화적인 CLI 모드에 맞게 조정된 번들을 찾을 수 있습니다. CLI 모드를 사용하면 추가 설정 없이 바로 시작할 수 있으며 풀 요청 모드를 사용하려면 AWS Lambda에 배포해야 합니다. 필요에 맞는 옵션을 선택하고 git-secrets의 기능을 활용하여 코드베이스의 보안을 강화하십시오!
CLI 모드에서 디렉토리를 인수로 제공하면 Repo-supervisor가 지원되는 파일 유형을 스캔하여 유형별 토크나이저로 각 파일을 처리합니다. 추출된 문자열에 대한 보안 검사를 실행하고 일반 텍스트 또는 JSON 형식으로 명확한 보고서를 제공합니다.
풀 요청 모드의 경우 Repo-supervisor는 webhook 페이로드를 처리하고 수정된 파일을 추출하며 추출된 문자열에 대한 보안 검사를 수행합니다. 문제가 발견되면 CI 상태를 오류로 설정하고 보고서에 연결합니다. 문제가 없다는 것은 성공적인 CI 상태를 의미합니다.
Repo-supervisor는 비밀과 암호를 안전하게 유지하는 놀라운 코드 검사기입니다. 그것은 우리의 직업 생활에서 중요한 우리 코드베이스의 무결성을 보장합니다.
Repo-supervisor를 사용해 보세요! 이를 설치하고 웹후크를 구성하고 비밀과 암호를 검색하도록 합니다. 추가 보안 계층을 즐기십시오!
트러플 호그
Truffle Hog라는 놀라운 도구를 소개하겠습니다. 리포지토리 내에 숨어있는 민감한 정보의 흔적을 부지런히 찾아내는 충실한 코드 동반자라고 생각하십시오. Truffle Hog는 API 키 및 암호와 같은 귀중한 비밀의 잠재적 유출 가능성을 세심하게 스캔하여 프로젝트 기록을 깊이 파고드는 마스터입니다.
높은 엔트로피 검사 및 정규식 패턴을 갖춘 이 도구는 이러한 숨겨진 보물을 발굴하고 코드를 안전하게 유지하도록 준비되어 있습니다. 비밀 유출에 작별을 고하고 Truffle Hog의 경계심 있는 보호를 받아들입니다!
가장 중요한 부분은 Truffle Hog의 최신 버전에 강력한 새 기능이 많이 포함되어 있다는 것입니다. 이제 각 API에 대해 능동적으로 확인하는 700개 이상의 자격 증명 탐지기를 자랑합니다. 또한 GitHub, GitLab, 파일 시스템, S3, GCS 및 Circle CI 스캔을 지원하여 매우 다재다능합니다.
뿐만 아니라 TruffleHog는 이제 최첨단 Driftwood 기술을 사용하여 수백만 명의 GitHub 사용자와 수십억 개의 TLS 인증서에 대한 개인 키의 즉각적인 검증을 기본적으로 지원합니다. 바이너리 및 기타 파일 형식도 스캔할 수 있으므로 돌이킬 수 없는 일이 없도록 합니다.
또한 TruffleHog는 GitHub Action 및 사전 커밋 후크로 사용 가능하여 개발 워크플로에 원활하게 통합됩니다. 편리하고 사용자 친화적으로 설계되어 불필요한 번거로움 없이 추가 보안 계층을 제공합니다.
툴킷에 Truffle Hog를 사용하면 우발적인 노출로부터 코드를 자신 있게 보호하고 비밀을 잠글 수 있습니다. 따라서 Truffle Hog를 사용해 보고 마법처럼 프로젝트를 보호하세요.
힘내 하운드
GitHound는 GitHub 코드 검색, 패턴 일치 및 커밋 기록 검색을 활용하여 다른 도구의 한계를 뛰어 넘습니다. 특정 리포지토리, 사용자 또는 조직뿐만 아니라 전체 GitHub를 검색할 수 있습니다. 얼마나 멋진가요?
이제 환상적인 기능에 대해 살펴보겠습니다. Git Hound는 GitHub/Gist 코드 검색을 활용하여 누구나 업로드한 GitHub의 방대한 영역에 흩어져 있는 민감한 정보를 정확히 찾아낼 수 있습니다. 잠재적인 취약점을 발견하기 위해 보물 지도를 가지고 있는 것과 같습니다.
그러나 GitHound는 여기서 멈추지 않습니다. 패턴 일치, 컨텍스트 정보 및 문자열 엔트로피를 사용하여 민감한 데이터를 탐지합니다. 커밋 기록을 깊이 파고들어 부적절하게 삭제된 비밀을 찾아 돌이킬 수 없는 일이 없도록 합니다.
삶을 단순화하기 위해 GitHound는 일반적인 오 탐지를 필터링하고 집약적인 리포지토리 파기에 대한 검색을 최적화하는 채점 시스템을 통합합니다. 시간과 노력을 절약할 수 있도록 설계되었습니다.
그리고 무엇을 추측합니까? Git Hound는 base64 탐지 및 디코딩 기능을 갖추고 있습니다. Base64 형식으로 인코딩된 숨겨진 비밀을 공개할 수 있으므로 중요한 정보를 찾는 데 추가 우위를 제공합니다.
또한 GitHound는 더 큰 시스템에 통합할 수 있는 옵션을 제공합니다. 특정 요구 사항에 따라 JSON 출력을 생성하고 정규식을 사용자 지정할 수 있습니다. 이는 유연성과 기반 위에 구축할 수 있는 권한에 관한 것입니다.
이제 흥미로운 사용 사례에 대해 이야기해 보겠습니다. 기업 세계에서 GitHound는 노출된 고객 API 키를 검색하는 데 매우 중요합니다. 민감한 정보를 보호하여 최고 수준의 보안을 보장합니다.
버그 현상금 사냥꾼에게 Git Hound는 게임 체인저입니다. 이를 통해 유출된 직원 API 토큰을 검색할 수 있으므로 취약성을 발견하고 합당한 포상금을 받을 수 있습니다. Git Hound가 놀랍지 않습니까?
Gitleaks
Gitleaks는 여러분의 삶을 더 쉽게 만들기 위해 설계되었습니다. 비밀이 코드의 과거 또는 현재에 묻혀 있는지 여부를 감지하는 사용하기 쉬운 올인원 솔루션입니다. 프로젝트에서 비밀번호, API 키 또는 토큰이 노출될 위험에 작별을 고하세요.
Gitleaks 설치는 간단합니다. 선호도에 따라 Homebrew, Docker 또는 Go를 사용할 수 있습니다. 또한 유연한 구현 옵션을 제공합니다. 리포지토리에서 직접 커밋 전 후크로 설정하거나 Gitleaks-Action을 활용하여 GitHub 워크플로에 원활하게 통합할 수 있습니다. 가장 적합한 설정을 찾는 것이 전부입니다.
이제 Gitleaks가 제공하는 명령에 대해 이야기해 봅시다. 먼저 “detect” 명령이 있습니다. 이 강력한 명령을 사용하면 리포지토리, 디렉터리 및 개별 파일을 검색할 수 있습니다. 자신의 컴퓨터에서 작업하든 CI 환경에서 작업하든 Gitleaks가 지원합니다. 균열을 통해 비밀이 빠져나가지 않도록 합니다.
하지만 그게 다가 아닙니다. Gitleaks는 “보호” 명령도 제공합니다. 이 명령은 Git 리포지토리에서 명시적으로 커밋되지 않은 변경 사항을 검색합니다. 이는 마지막 방어선 역할을 하여 비밀이 실수로 커밋되는 것을 방지합니다. 코드를 깨끗하고 안전하게 유지하는 보호 장치입니다.
업계에서 신뢰받는 Tines는 Gitleaks를 후원합니다. 그들의 지원으로 Gitleaks는 계속 발전하고 개선되어 최고의 비밀 탐지 기능을 제공합니다.
그러니 내 젊은 전문가들이여, 비밀이 당신의 프로젝트를 타협하게 두지 마십시오. 설치하고 설정한 다음 리포지토리를 검색하고 보호하는 어려운 작업을 수행하도록 하십시오.
레포 보안 스캐너
repo 보안 스캐너는 Git 리포지토리 내에서 실수로 커밋된 중요한 데이터(예: 암호, 토큰, 개인 키 및 기타 비밀)를 식별하는 데 도움이 되도록 설계된 귀중한 명령줄 도구입니다.
이 강력한 도구를 사용하면 의도치 않게 코드베이스에 포함된 기밀 정보로 인해 발생할 수 있는 잠재적인 보안 취약성을 사전에 감지하고 해결할 수 있습니다. 리포지토리 보안 스캐너를 사용하면 리포지토리의 무결성을 보장하고 무단 액세스로부터 중요한 데이터를 보호할 수 있습니다.
Repo Security Scanner는 전체 리포지토리의 기록을 쉽게 조사하여 포괄적인 스캔 결과를 신속하게 제공합니다. 철저한 스캔을 수행함으로써 오픈 소스 소프트웨어의 노출된 비밀로 인해 발생할 수 있는 잠재적인 보안 취약성을 사전에 식별하고 신속하게 해결할 수 있습니다.
힘내 가디언
GitGuardian은 개발자, 보안 및 규정 준수 팀이 GitHub 활동을 실시간으로 모니터링하고 API 토큰, 보안 인증서, 데이터베이스 자격 증명 등과 같은 노출된 비밀로 인한 취약성을 식별할 수 있는 도구입니다.
GitGuardian을 통해 팀은 비공개 및 공개 코드와 기타 데이터 소스에서 보안 정책을 시행할 수 있습니다.
GitGuardian의 주요 기능은 다음과 같습니다.
- 이 도구는 비공개 소스 코드의 비밀과 같은 민감한 정보를 찾는 데 도움이 됩니다.
- 공개 GitHub에서 민감한 데이터 유출을 식별하고 수정합니다.
- 효과적이고 투명하며 설정하기 쉬운 비밀 탐지 도구입니다.
- 위험에 처한 거의 모든 민감한 정보를 포괄하는 더 넓은 적용 범위와 포괄적인 데이터베이스.
- 검색 프로세스와 효율성을 향상시키는 정교한 패턴 일치 기술입니다.
결론
이것이 GitHub 리포지토리에서 민감한 데이터를 찾는 데 도움이 되기를 바랍니다. AWS를 사용하는 경우 이 기사를 확인하여 AWS 보안 및 구성 오류를 스캔하십시오. 귀하의 직업 생활을 향상시킬 더 흥미로운 도구를 계속 지켜봐 주십시오. 즐겁게 코딩하고 비밀을 지켜주세요! 🔒