데브옵스
GitLab 액세스 토큰 점검 4단계: 경찰청 GitHub 토큰 유출 권고문 대응
두줄요약
경찰청의 GitHub 토큰 유출 권고를 계기로 GitLab에서 크리덴셜을 점검하고 회전하는 4단계 대응법을 정리했습니다. Self-Managed와 GitLab.com의 차이, 티어별 기능 범위와 주의점도 함께 다뤘습니다.
핵심 내용
- 경찰청의 GitHub 개인 액세스 토큰 유출 권고를 바탕으로, GitLab Self-Managed에서 크리덴셜을 점검·무력화·재발 방지하는 4단계 대응 절차 정리
- 점검 대상은 개인 액세스 토큰뿐 아니라 프로젝트/그룹 액세스 토큰, SSH 키, 배포 토큰, 러너 토큰, 피드 토큰, 수신 메일 토큰까지 포함
- 대응의 핵심은 전수 파악, 사용 흔적 확인, 회전 중심의 즉시 무력화, 만료 수명 정책 강제
- GitLab.com과 Self-Managed는 가능한 조치 범위가 다르며, 티어에 따라 조회·추적·정책 강제 기능이 달라짐
적용해볼 점
- 유출 통보 전에도 인스턴스 전체 크리덴셜 목록과 사용 이력을 주기적으로 점검
- 폐기보다 회전과 만료 정책 강제를 우선 검토
- 커스텀 토큰 접두사와 짧은 수명 정책이 탐지·운영에 미치는 영향 사전 확인