440+개 민감정보 탐지 패턴
VEXLIT은 14개 카테고리에 걸쳐 440+개 탐지 패턴을 사용하여 소스 코드의 하드코딩된 비밀, API 키, 토큰, 자격증명을 탐지합니다. 엔트로피 분석이 알려진 패턴에 매치되지 않는 비밀도 포착합니다.
440+
탐지 패턴
14
비밀 카테고리
10
유효성 검증 서비스
탐지 카테고리
비밀은 명확한 우선순위 지정을 위해 14개 카테고리로 분류됩니다.
클라우드 서비스 키
AWS 액세스 키, GCP 서비스 계정, Azure 연결 문자열
API 키 & 토큰
Stripe, SendGrid, Twilio, OpenAI, HuggingFace, npm 토큰
소스 관리
GitHub PAT, GitLab 토큰, Bitbucket 앱 비밀번호
커뮤니케이션
Slack 웹훅/토큰, Discord 봇 토큰, Telegram 봇 토큰
데이터베이스
PostgreSQL, MySQL, MongoDB, Redis 자격증명 포함 연결 문자열
개인 키
RSA, EC, PGP 개인 키, SSH 개인 키
인증
JWT 시크릿, OAuth 클라이언트 시크릿, SAML 인증서
CI/CD
Jenkins 토큰, CircleCI 키, Travis CI 토큰
결제
Stripe 시크릿 키, PayPal 자격증명, Square 액세스 토큰
인프라
Terraform 상태 비밀, Vault 토큰, Consul 토큰
모니터링
Datadog, New Relic, PagerDuty API 키
이메일
SMTP 자격증명, Mailgun, Postmark API 키
컨테이너 레지스트리
Docker Hub 토큰, ECR 자격증명, GCR 키
일반 비밀
인식되지 않는 고엔트로피 문자열에 대한 Shannon 엔트로피 탐지
Shannon 엔트로피 탐지
패턴 매칭을 넘어 VEXLIT은 Shannon 엔트로피 분석을 사용하여 알려진 형식에 매치되지 않더라도 비밀처럼 보이는 고엔트로피 문자열을 탐지합니다. 커스텀 API 키, 내부 토큰, 일회성 자격증명을 포착합니다.
유효성 검증
지원 서비스의 경우 VEXLIT은 안전한 읽기 전용 API 호출을 통해 탐지된 비밀이 아직 활성 상태인지 확인합니다.
활성
비활성 / 폐기됨
확인 불가
Git 히스토리 스캔
현재 코드의 비밀은 위험의 일부에 불과합니다. VEXLIT은 전체 git 히스토리를 스캔하여 커밋 후 제거되었지만 저장소에 남아있는 비밀을 찾을 수 있습니다.
$ vexlit scan . --git-history저장소의 모든 커밋에서 비밀 스캔$ vexlit scan --diff커밋 전 staged/unstaged 변경사항만 비밀 스캔Pre-commit 훅
VEXLIT을 pre-commit 훅으로 추가하여 비밀이 커밋되는 것을 사전에 방지합니다.
# .pre-commit-config.yaml
repos:
- repo: local
hooks:
- id: vexlit-secrets
name: VEXLIT Secret Scanner
entry: npx @vexlit/cli scan --diff --fail-on medium
language: system
pass_filenames: false.env 파일 파싱
VEXLIT에는 환경 파일의 비밀을 탐지하는 전용 .env 파서가 있습니다. KEY=VALUE 형식, 따옴표가 있는 값, 여러 줄 값, 변수 보간을 이해합니다.