감지된 시크릿

감지된 시크릿에 대해 설명합니다.

시크릿 범주 # GitLab Secret Detection은 규칙 기반 탐지와 일반 탐지라는 두 가지 방식으로 시크릿을 식별합니다. 규칙 기반 탐지 # 규칙 기반 탐지는 스캔한 콘텐츠를 자격 증명 유형별로 알려진 패턴, 즉 규칙과 대조하여 시크릿을 식별합니다. 예를 들어 GitLab 개인 액세스 토큰은 glpat- 뒤에 20자 문자열이 오는 패턴으로 식별합니다. GitLab은 널리 쓰이는 공급업체를 포괄하는 200개 이상의 규칙 을 기본으로 지원합니다. 규칙 기반 탐지의 적용 범위는 분석기가 지원하는 규칙으로 한정됩니다. 지원되는 규칙과 일치하지 않는 시크릿은 탐지되지 않습니다. Gitleaks 기반 분석기와 GitLab Secret Scanning for Source Code 모두 규칙 기반 탐지를 지원합니다. 일반 탐지 # 규칙 기반 탐지는 이미 알고 있는 패턴과 일치하는 시크릿만 찾을 수 있습니다. 많은 자격 증명은 공개되거나 일관된 형식을 따르지 않아 어떤 규칙과도 일치하지 않습니다. 예를 들어 내부 서비스의 비밀번호, 데이터베이스 연결 문자열, 구별되는 접두사가 없는 API 키가 있습니다. 일반 탐지는 이러한 시크릿을 대상으로 합니다. 고정된 패턴과 대조하는 대신, 일반 탐지는 값 주변의 컨텍스트와 값 자체의 속성을 살펴봅니다. 두 신호로 해당 값이 자격 증명일 가능성을 판단합니다. 일반 탐지는 알려진 패턴에 의존하지 않으므로 규칙 기반 탐지가 놓치는 시크릿을 잡아낼 수 있습니다. 대신 오탐이 발생하기 쉬우므로 GitLab Secret Scanning for Source Code는 노이즈를 줄이는 오탐 감소 기능을 포함합니다. 일반 탐지를 지원하는 GitLab 분석기는 GitLab Secret Scanning for Source Code뿐입니다. 자세한 내용은 일반 시크릿 을 참고합니다. 일반 탐지는 명확한 secret = "value" 할당에만 국한되지 않습니다. 다음 스니펫은 일반 탐지가 식별하는 덜 명확한 값과 각각이 만들어 내는 탐지 결과를 보여 줍니다. # Secret assigned in a Perl hash, not a plain key-value pair $config{'webhook_token'} = "Of0Pg2Qh4Ri6Sj8Tk"; # Password stored as the content of an XML element, not an attribute <db_password>Ct8Du0Ev2Fw4Gx6Hy</db_password> # API key passed as a URL query parameter https://app.gitlab.com?api_key=Of3Pg5Qh7Ri9Sj1Tk # Token embedded as a literal value in a SQL statement INSERT INTO secrets (key, value) VALUES ('api_token', 'Kb1Lc3Md5Ne7Of9Pg'); # Password assigned through an environ