보안 사고 대응

GitLab 서비스와 관련된 보안 사고에 대응하는 모범 사례와 절차를 설명합니다.

보안 사고가 발생하면 우선 조직에서 정의한 프로세스를 따릅니다. GitLab Security Operations 팀은 이 가이드를 다음과 같은 목적으로 작성했습니다. GitLab Self-Managed 인스턴스와 GitLab.com 그룹의 관리자 및 Maintainer를 위한 가이드입니다. GitLab 서비스와 관련된 다양한 보안 사고에 대응하는 방법에 대한 추가 정보와 모범 사례를 제공합니다. 보안 사고를 처리하기 위해 조직에서 정의한 프로세스를 보완하는 자료이며, 이를 대체하지 않습니다. 이 가이드를 활용하면 GitLab 관련 보안 사고를 자신 있게 처리할 수 있습니다. 필요한 경우 이 가이드는 GitLab 문서의 다른 부분으로 연결되는 링크를 제공합니다. 사고가 발생하기 전과 발생하는 동안 이를 탐지하려면 보안 사고 탐지 를 참고합니다. Warning 이 가이드에 언급된 제안 및 권장 사항은 사용자 책임하에 적용합니다. 일반적인 보안 사고 시나리오 # 퍼블릭 인터넷에 자격 증명 노출 # 이 시나리오는 잘못된 설정이나 사람의 실수로 인해 민감한 인증 또는 권한 부여 정보가 인터넷에 노출된 보안 이벤트를 가리킵니다. 이러한 정보에는 다음이 포함될 수 있습니다. 비밀번호. 개인 액세스 토큰. 그룹/프로젝트 액세스 토큰. 러너 토큰. 파이프라인 트리거 토큰. SSH 키. 이 시나리오에는 GitLab 서비스를 통해 서드파티 자격 증명에 대한 민감한 정보가 노출되는 경우도 포함될 수 있습니다. 이러한 노출은 예를 들어 퍼블릭 GitLab 프로젝트에 대한 실수로 인한 커밋이나 CI/CD 설정의 잘못된 구성을 통해 발생할 수 있습니다. 자세한 내용은 다음을 참고합니다. GitLab 토큰 개요 GitLab CI/CD 변수 보안 대응 # 자격 증명 노출과 관련된 보안 사고는 토큰 유형과 연관된 권한에 따라 심각도가 낮음부터 심각까지 다양합니다. 이러한 사고에 대응할 때는 다음을 수행합니다. 토큰의 유형과 범위를 파악합니다. 토큰 정보를 기반으로 토큰 소유자와 관련 팀을 식별합니다. 개인 액세스 토큰의 경우 개인 액세스 토큰 API 를 사용해 토큰 세부 정보를 빠르게 조회할 수 있습니다. 토큰의 범위와 잠재적 영향을 평가한 후 토큰을 취소 하거나 순환 합니다. 프로덕션 토큰을 취소하는 것은 노출된 토큰이 초래하는 보안 위험과 토큰 취소가 초래할 수 있는 가용성 위험 사이의 균형을 고려해야 하는 일입니다. 다음 조건을 모두 만족하는 경우에만 토큰을 취소합니다. 토큰 취소가 미치는 잠재적 영향을 확실히 이해하고 있는 경우. 회사의 보안 사고 대응 가이드라인을 따르는 경우. 자격 증명이 노출된 시점과 자격 증명을 취소한 시점을 기록합니다. GitLab 감사 로그를 검토해 노출된 토큰과 관련된 무단 활동이 있는지 확인합니다. 토큰의 범위와 유형에 따라 다음과 관련된 감사 이벤트를 검색합니다. 새로 생성된 사용자. 토큰. 악의적인 파이프라인. 코드 변경 사항. 프로젝트 설정 변경 사항. 이벤트 유형 # 그룹 또는 네임스페이스에서 사용할 수 있는 감사 이벤트 를