문자열에서 자격 증명 후보로
API 키와 데이터베이스 비밀번호, 개인 키처럼 기계 사이의 인증에 쓰이는 정보가 검사 대상이다. Git 저장소와 파일 시스템을 비롯한 여러 자료 원천을 다룬다. 탐지한 문자열이 어떤 서비스나 자격 증명 유형에 해당하는지 분류하는 과정도 제공한다.
탐지와 유효성 확인의 차이
형태가 키와 비슷하다는 사실만으로 현재 유효한 자격 증명이라고 단정할 수는 없다. TruffleHog는 지원하는 유형에서 서비스에 요청해 유효성을 확인하는 기능을 제공한다. 일부 유형은 연결된 신원과 접근 가능한 자원 등의 추가 분석도 가능하므로 단순한 로컬 문자열 검색과 동작 범위가 다를 수 있다.
결과를 검토하는 흐름
검사 결과를 JSON이나 SARIF 등으로 출력해 다른 도구와 연결할 수 있다. 발견 위치와 유형, 검증 상태를 함께 살펴 실제 대응 우선순위를 판단하는 자료로 활용한다. 다만 탐지 여부와 유효성 확인, 자격 증명의 폐기나 교체는 서로 다른 단계이며 검사 결과가 자동으로 모든 후속 조치를 완료하는 것은 아니다.
관련 문서
Gitleaks / Detect-secrets / Bandit / Pip-audit / Semgrep