Gitleaks Baseline 기반의 3단계 검증 체계로 12건의 Secret 유출 해결

Context

초기 구축 단계의 편의성을 위해 Secret을 plaintext로 커밋한 레거시 부채가 누적된 상황임. Private Repo라는 심리적 보안 모델에 의존하여 Vault 및 ExternalSecrets 도입 후에도 과거의 유출 데이터가 히스토리에 잔존하는 아키텍처적 결함 발생.

Technical Solution

• .gitleaks-baseline.json 파일을 통한 기존 유출분 스냅샷 생성으로 신규 커밋 차단 시 발생하는 History 블로킹 문제 해결
• pre-commit 단계에서 gitleaks protect --staged를 실행하여 신규 Secret 유입을 즉각 차단하는 Fast-fail 구조 설계
• pre-push 단계에서 gitleaks detect를 통한 전체 레포지토리 재검토로 --no-verify 옵션 등으로 누락된 유출 사례를 최종 검증하는 다중 방어 체계 구축
• 단순 삭제가 아닌 Vault 마이그레이션과 연동된 Credential Rotation 전략을 통해 실제 유효한 보안 취약점 제거
• Downstream 의존성을 고려한 순차적 Rotation으로 Terraform State Backend 등 인프라 가용성 유지