SecretScrub

SecretScrub은 하드코딩된 모든 비밀 값을 깨끗이 제거합니다. 이 스크립트는 다양한 정적 분석 도구가 생성하는 SARIF 파일 형식의 파일을 처리합니다. 이 도구는 파일 시스템 내의 디렉터리를 스캔하고, SARIF 파일에서 감지된 모든 비밀 값 인스턴스를 디렉터리의 새 사본으로 대체합니다. 비밀 값은 종종 Git 히스토리에 남아 있으므로, 결과 사본에는 .git 디렉터리가 제외됩니다.

SARIF는 업계 표준 형식이지만, 각 도구가 생성하는 SARIF 출력에는 차이가 있습니다. 따라서 현재 지원되는 도구는 다음과 같습니다.

SARIF 출력의 차이로 인해, 향후 버전의 도구가 생성한 출력은 제대로 작동하지 않을 수 있습니다.

종속성

종속성은 requirements.txt 파일에 나열되어 있습니다. 간단히 말해 다음 패키지가 필요합니다:

사용법

명령줄 사용법

이전에 생성된 도구 출력 사용

$ python secretscrub.py --input <path> --srcdir <path> --outdir <path> [--report <path>]

도구 호출

$ python secretscrub.py --analyse-with <analysis-tool-list> --srcdir <path> --outdir <path> [--report <path>]

참고: 작동하려면 도구가 현재 시스템에 설치되어 있어야 합니다:

Docker 컨테이너

이 소스 트리에서 빌드된 Docker 이미지에는 SecretScrub 도구와 Trivy, GitLeaks, ccs 및 cq 도구의 사본이 포함되어 있습니다.

secretscrub:latest 태그로 빌드된 경우, 다음 명령은 보고서와 함께 전체 분석 및 대체 작업을 시작합니다.

sudo docker run -it -v <source-path>:/src:ro -v <output-path>:/out secretscrub:latest --analyse-with trivy,gitleaks,bindetect

이 작업은 컨테이너 내에서 두 개의 볼륨을 매핑합니다. 첫 번째 볼륨(<source-path>)에는 원본의 대체되지 않은 소스 코드가 포함되어야 합니다. 두 번째 볼륨(<output-path>)은 대체된 출력과 보고서를 받게 됩니다.

권장 워크플로

다음 예제는 소스가 src라는 하위 디렉터리에 저장되고, SecretScrub이 tools라는 하위 디렉터리에 설치되어 있다고 가정합니다.

명령줄 사용

$ python tools/secretscrub.py --analse-with trivy,gitleaks,bindetect --srcdir src --outdir src-redacted

Docker 컨테이너 사용

sudo docker run -it -v <source-path>:/src:ro -v <output-path>:/out secretscrub:latest --analyse-with trivy,gitleaks,bindetect