自查与治理动作
自查与治理动作
1. 代码与镜像扫描：gitleaks/trufflehog 等工具定期跑（见下条）
2. 云审计日志：核对密钥的调用来源 IP 与时间是否异常
3. 治理：能用角色/实例身份的，删除长期密钥
4. 必须保留的：最小权限 + 定期轮换 + 泄露应急预案
5. 监控：密钥调用异常（新地域、新 IP、失败率激增）告警gitleaks 扫描示例
gitleaks 扫描示例
gitleaks detect --source ./repo -v --report-format json --report-path leak.json
# 扫描结果按『文件+行号』定位，优先处理已提交到远端的记录密钥泄露的处置顺序是『先吊销再调查』：先保住入口，复盘可以之后进行。