DevSecOps 첫 단계: 발견한 자격증명을 실제로 조치하기

2026년 10월 3일 수정. 이전 글에 있던 Ferret CLI, pre-commit hook, 설치 절차는 현재 Cremit Platform 안내와 맞지 않아 삭제했습니다. 실제 설정 방법은 최신 제품·연동 페이지에서 확인하세요.

노출된 자격증명 한 건부터 시작하기

DevSecOps 도입을 논의할 때는 첫 작업이 구체적이면 좋습니다. 자격증명이 남을 수 있는 저장소나 협업 도구 하나를 정하고 검사에 필요한 권한으로 연결하세요. 탐지 결과의 담당자를 정한 뒤 발급 서비스에서 누가 키를 교체하거나 폐기할지 합의합니다.

Cremit Platform은 GitHub, GitLab, Bitbucket, GitHub Packages 이미지, AWS S3, Google Drive, Slack, Jira, Confluence, Notion 등 지원하는 연결 소스를 검사합니다. 자격증명 패턴을 찾고 지원 유형은 발급 서비스에 유효성을 확인하며, 조치 결과를 사고 처리 흐름으로 연결합니다. 자동 검증을 지원하지 않는 탐지 결과는 담당자가 살펴봐야 합니다.

단계별로 필요한 검사를 배치하기

커밋 전 피드백이 필요하면 개발자 컴퓨터에 별도의 pre-commit 검사 도구를 둡니다. CI에서는 빌드를 막을 수 있는 스캐너나 Git 제공자의 기본 검사를 사용합니다. Cremit의 GitHub App은 새 풀 리퀘스트를 받을 때 검사할 수 있고, 다른 연결 소스는 정해진 주기로 검사합니다. 검사 시점이 다르므로 각각 시험해야 합니다.

탐지는 유출을 되돌리지 않습니다. 키가 살아 있다면 발급 서비스에서 교체하거나 폐기하고, 관련 접근 기록을 조사하며, 노출 값을 가능한 곳에서 제거하세요. 이전 키가 더 이상 작동하지 않는지도 확인합니다. 담당자, 첫 탐지 시점, 대응 시간, 종료 근거를 기록해 두면 다음 대응을 개선할 수 있습니다.

작게 연습하기

운영 키 대신 지정된 저장소의 테스트용 자격증명을 사용하세요. 탐지, 알림, 담당자 지정, 조치 종료가 예상대로 이어지는지 확인합니다. 채팅이나 문서를 자주 쓴다면 그 소스도 별도로 시험하세요. 풀 리퀘스트 수신 시 검사와 주기 검사를 구분해 문서로 남기면 개발자도 피드백 시점을 알 수 있습니다.

지원 소스와 알림 채널은 최신 연동 페이지에서 확인하세요. CLI, 로컬 hook, CI 차단 기능이 필요하다면 각각 지원 여부를 따로 검토해야 합니다.