GitHub가 공개 저장소에서 조직과 관련된 시크릿을 찾는 public monitoring에 경보 관리, 지원 토큰의 반복 유효성 확인, REST API와 웹훅을 추가했습니다. 기능은 Enterprise Cloud 대상의 공개 프리뷰로 안내합니다. GitHub 공식 발표
GitHub는 경보를 닫아도 노출된 자격 증명이 폐기되거나 공개 저장소에서 사라지는 것은 아니라고 명시했습니다. 경보 상태는 조사 흐름을 정리하는 정보이며 자격 증명의 실제 수명 주기를 대신하지 않습니다.
이 글의 목차
공개 저장소의 흔적과 현재 사용 가능한 토큰
시크릿은 API 키나 토큰처럼 가진 사람이 서비스에 접근할 수 있는 비밀 값입니다. 조직 바깥의 공개 저장소에 올라오면 원래 저장소 소유자의 권한과 상관없이 복사될 수 있습니다. 공개 모니터링은 조직과 연관된 노출을 찾는 데 도움을 주지만, 발견한 즉시 값의 소유자와 사용처를 확인하는 대응 절차도 필요합니다.
토큰이 Active라면 우선 조사할 근거가 되고, Inactive는 확인된 유효성 정보로 해석합니다. Unknown은 검증 정보가 충분하지 않거나 지원 범위 밖일 수 있으므로 안전하다는 판정으로 쓰지 않습니다. 한 번 비활성으로 보인 결과만 믿기보다 공급자의 검증 범위와 조직의 실제 자격 증명 상태를 함께 확인하는 편이 정확합니다.
폐기·교체·서비스 복구를 연결해야 합니다
노출된 값을 문서나 저장소에서 지우는 일과 해당 자격 증명을 못 쓰게 만드는 일은 다릅니다. 누군가 이미 복사했을 수 있기 때문입니다. 토큰을 폐기하고 새 값을 필요한 서비스에 배포한 뒤, 이전 값이 사용되지 않는지 확인하는 흐름을 준비합니다. 정기 작업이나 드물게 실행하는 배포 도구도 교체 대상에서 빠지지 않도록 사용처 목록을 유지합니다.
서비스 중단 위험이 있으면 담당자와 교체 순서를 정하되, 유효한 노출 값을 계속 두는 시간을 불필요하게 늘리지 않습니다. 공개 저장소의 원문을 조사 기록에 넣을 때도 토큰 전체를 다시 복사하지 않는 편이 좋습니다. 경보 식별자와 노출 위치, 비밀 값을 가린 증거만으로 사건을 추적할 수 있도록 설계합니다.
웹훅을 사건 관리에 연결하는 예시
사건 관리 시스템은 경보 식별자를 기준으로 같은 사건을 찾고, 새 정보가 들어오면 기존 사건을 갱신하도록 만들 수 있습니다. 웹훅은 재시도나 중복 전달을 고려해야 하므로 같은 알림을 두 번 받아도 폐기 작업이나 담당자 호출이 불필요하게 반복되지 않아야 합니다. 알림 수신 사실과 실제 조치 완료는 다른 상태로 저장합니다.
종료 조건에는 담당자의 교체 확인, 이전 자격 증명의 상태, 관련 서비스의 정상 동작을 포함합니다. GitHub 경보를 닫는 단계는 이 증거를 정리한 다음 수행할 수 있습니다. 공개 프리뷰를 평가할 때는 토큰 종류별 유효성 정보와 API·웹훅에 포함되는 항목을 실제 계정에서 확인해 기존 대응 흐름에 연결합니다.
자동화에 연결할 정보
- 경보 식별자와 토큰 소유자·서비스 담당자를 연결합니다.
- 폐기·교체·서비스 정상화 확인을 별도 작업으로 관리합니다.
- 웹훅 중복 수신과 재시도에도 사건이 중복 생성되지 않게 합니다.
탐지는 노출 대응의 시작입니다. 유효한 자격 증명이 더 이상 사용되지 않는지 확인한 뒤 사건을 종료합니다.
발표문 기준일: 2026-10-23 · 확인일: 2026-10-24
.jpg){kind=link}