NEW: RSAC 2026 NHI 현장 리포트. 비인간 아이덴티티가 사이버보안의 중심축이 된 이유

보안 | Cremit 블로그 | Cremit

카테고리

보안

글 18개

2026년 4월 14일

만료됐는데 여전히 작동하는 크레덴셜: 좀비 키 문제 (NHI Kill Chain #5)

Secret scanning alert: Resolved. 크리덴셜 상태: Active. 코드에서 지우는 것과 폐기하는 것은 완전히 다릅니다. Zombie Key 킬체인 분석.

김동현

Team Member

2026년 4월 11일

과도한 권한의 API 키: 하나의 크레덴셜이 너무 많은 것을 여는 문제 (NHI Kill Chain #4)

Stripe API 키 하나가 3년간 14곳에 복사되었습니다. QA 리포가 공개 전환되면서 키가 노출 — 폐기하면 14개 서비스가 동시에 죽는 상황.

김동현

Team Member

2026년 4월 10일

회전되지 않은 API 키: 수년 된 크레덴셜이 여전히 프로덕션을 움직이는 이유 (NHI Kill Chain #3)

3년간 로테이션 없이 7개 시스템에 퍼진 AWS 키 하나. 공급망 공격으로 이 키가 탈취되었을 때, 공격자는 인프라 전체에 접근할 수 있었습니다. Aged Key 킬체인 분석과 단계적 로테이션 대응 가이드.

김동현

Team Member

2026년 4월 5일

섀도우 서비스 계정: 문서화되지 않은 머신 아이덴티티 탐지하기 (NHI Kill Chain #2)

프로덕션 장애 한 번으로 크리덴셜이 6개 비코드 플랫폼에 퍼졌습니다. 시크릿 스캐너는 하나도 찾지 못했습니다. Shadow Key 킬체인 분석.

김동현

Team Member

2026년 4월 2일

소유자 없는 API 키: 주인을 잃은 크레덴셜의 보안 리스크 (NHI Kill Chain #1)

퇴사한 개발자의 AWS 키가 92일간 방치되다 인포스틸러를 통해 다크웹에 유출되었습니다. Ghost Key 킬체인 분석과 고아 크리덴셜 대응 가이드.

김동현

Team Member

2026년 3월 25일

보안 스캐너가 해킹 도구가 된 날 — Trivy 공급망 공격의 사이버 킬체인 분석

Aqua Security의 Trivy가 해킹당해 LiteLLM까지 연쇄 감염된 TeamPCP 공급망 공격. 사이버 킬체인 7단계와 MITRE ATT&CK 매핑으로 분석하고, NHI 거버넌스 실패가 만든 연쇄 재앙의 교훈을 정리합니다.

김동현

Team Member

2026년 3월 17일

공개 노출된 API 키: 크레덴셜이 오픈 저장소에 도달하면 벌어지는 일 (NHI Kill Chain #7)

.env 파일이 GitHub 공개 저장소에 push된 지 4분 만에 공격자 봇이 탐지합니다. 크리덴셜 노출에서 인프라 침해까지의 Kill Chain 전체를 분석하고, 피해가 발생하기 전에 탐지하고 대응하는 방법을 다룹니다.

김동현

Team Member

2026년 3월 7일

GitHub Issue 제목 하나가 4,000대 개발자 머신을 감염시킨 방법

AI 코딩 도구 Cline의 GitHub Issue 트리아지 봇에 프롬프트 인젝션을 주입해 npm 토큰을 탈취하고, 4,000대의 개발자 머신에 악성 AI 에이전트를 설치한 Clinejection 공격. AI가 AI를 설치하는 새로운 공급망 공격이 시작되었습니다.

김동현

Team Member

2026년 1월 25일

Git Secret Scanning: 2026년 완벽 가이드

Git secret scanning 완벽 가이드. TruffleHog, GitGuardian, GitHub Advanced Security, Cremit 비교. 실전 CI/CD 통합 예제와 구현 전략 포함.

김동현

Team Member

2025년 4월 27일

Vercel 환경 변수 베스트 프랙티스: 시크릿 노출 방지 가이드 (실제 사례 포함)

Vercel 환경 변수는 편리하지만 설정 실수가 잦습니다. AWS, Stripe, GitHub 키가 Vercel 프론트엔드를 통해 실제로 유출되는 경로와, 이를 방지하는 베스트 프랙티스를 정리합니다.

김동현

Team Member

2025년 4월 1일

프론트엔드 코드로 유출되는 API 키: 탐지와 예방 방법

프론트엔드 JavaScript 번들, 소스맵, 빌드 산출물에는 브라우저에 도달해서는 안 될 API 키가 노출되는 경우가 흔합니다. 어떻게 유출되는지, 어떻게 찾는지, 어떻게 막는지 정리했습니다.

김동현

Team Member

2024년 11월 6일

Cremit, AWS SaaS 스포트라이트 프로그램에 합류

김동현

Team Member

2024년 3월 18일

DevSecOps의 시작, Cremit

김동현

Team Member

2023년 10월 22일

Secret 확산과 Non Human Identity: 증가하는 보안 문제

김동현

Team Member

로그인

주식회사 크리밋

Securing the machine layer for the AI era.

회사

회사 소개
채용채용 중
소식
보안 센터
문의하기

플랫폼

아이덴티티 인벤토리
시크릿 스캐닝
위협 탐지
라이프사이클 자동화
오프보딩 자동화

유스케이스

이커머스 보안
핀테크 컴플라이언스
SaaS 보안
고객 성공 사례

연동

Github 연동
AWS S3 연동
Slack 알람 연동
모든 연동 보기

핵심 결과

Cremit을 사용하면 수동 시크릿 관리 대비 공격 표면을 75% 줄일 수 있습니다.

개발자

보안 센터

개인정보 처리방침 서비스 이용약관 쿠키 설정

만료됐는데 여전히 작동하는 크레덴셜: 좀비 키 문제 (NHI Kill Chain #5)

과도한 권한의 API 키: 하나의 크레덴셜이 너무 많은 것을 여는 문제 (NHI Kill Chain #4)

회전되지 않은 API 키: 수년 된 크레덴셜이 여전히 프로덕션을 움직이는 이유 (NHI Kill Chain #3)

섀도우 서비스 계정: 문서화되지 않은 머신 아이덴티티 탐지하기 (NHI Kill Chain #2)

소유자 없는 API 키: 주인을 잃은 크레덴셜의 보안 리스크 (NHI Kill Chain #1)

보안 스캐너가 해킹 도구가 된 날 — Trivy 공급망 공격의 사이버 킬체인 분석

공개 노출된 API 키: 크레덴셜이 오픈 저장소에 도달하면 벌어지는 일 (NHI Kill Chain #7)

GitHub Issue 제목 하나가 4,000대 개발자 머신을 감염시킨 방법

Git Secret Scanning: 2026년 완벽 가이드

Vercel 환경 변수 베스트 프랙티스: 시크릿 노출 방지 가이드 (실제 사례 포함)

인간 대 비인간 인증 정보: 주요 차별점

tj-actions/changed-files 침해 사건 - NHI 보안을 중심으로

코드의 이면: 숨겨진 Secret 식별을 위한 모범 사례

조직 내 비인간 ID 보호를 위한 6가지 필수 실천 방안

프론트엔드 코드로 유출되는 API 키: 탐지와 예방 방법

Cremit, AWS SaaS 스포트라이트 프로그램에 합류

DevSecOps의 시작, Cremit

Secret 확산과 Non Human Identity: 증가하는 보안 문제