GitLab 액세스 토큰 점검 4단계: 경찰청 GitHub 토큰 유출 권고문 대응

핵심 내용

• 경찰청의 GitHub 개인 액세스 토큰 유출 권고를 바탕으로, GitLab Self-Managed에서 크리덴셜을 점검·무력화·재발 방지하는 4단계 대응 절차 정리
• 점검 대상은 개인 액세스 토큰뿐 아니라 프로젝트/그룹 액세스 토큰, SSH 키, 배포 토큰, 러너 토큰, 피드 토큰, 수신 메일 토큰까지 포함
• 대응의 핵심은 전수 파악, 사용 흔적 확인, 회전 중심의 즉시 무력화, 만료 수명 정책 강제
• GitLab.com과 Self-Managed는 가능한 조치 범위가 다르며, 티어에 따라 조회·추적·정책 강제 기능이 달라짐

적용해볼 점

• 유출 통보 전에도 인스턴스 전체 크리덴셜 목록과 사용 이력을 주기적으로 점검
• 폐기보다 회전과 만료 정책 강제를 우선 검토
• 커스텀 토큰 접두사와 짧은 수명 정책이 탐지·운영에 미치는 영향 사전 확인