노출된 자격증명에서 조치까지: Cremit Platform의 실제 지원 범위

2026년 10월 3일 수정. 이전 글에 있던 소유자 자동 추론, 행동 감시, 제품 개발 경위 일부는 현재 구현으로 확인할 수 없어 삭제했습니다. Cremit Platform이 지금 해결하려는 문제와 실제 지원하는 작업을 정리합니다.

사고가 나기 전부터 어려운 일

API 키는 저장소, 채팅 메시지, 공유 문서, 저장 버킷에 남을 수 있습니다. 화면에 보이는 사본만 지워서는 키가 계속 작동할 수 있습니다. 팀은 어디에 나타났는지, 현재 유효한지, 누가 서비스를 담당하는지, 운영에 문제 없이 누가 교체할 수 있는지 알아야 합니다.

NHI Kill Chain 시리즈는 잊힌 키, 여러 시스템에 복사된 키, 오래 유지된 접근, 공개 코드의 시크릿처럼 관리가 어려워지는 상황을 다룹니다. 시리즈의 분류는 위험을 살펴보기 위한 글의 구성입니다. Cremit Platform이 이 범주를 자동 분류하는 기능을 뜻하지는 않습니다.

현재 제품의 작업 흐름

먼저 검사할 소스를 연결합니다. Cremit Platform은 GitHub, GitLab, Bitbucket, GitHub Packages 이미지, AWS S3, Google Drive, Jira, Confluence, Notion, Slack을 지원합니다. GitHub App은 새 풀 리퀘스트를 받을 때 검사할 수 있고, 다른 연결 소스는 정해진 주기로 검사합니다. 조직이 승인한 외부 노출 지점도 지원 범위에서 확인할 수 있습니다.

다음으로 탐지 결과를 봅니다. 탐지 규칙은 1,000종이 넘는 자격증명 유형을 다루지만 패턴에 걸린 문자열이 모두 살아 있는 키는 아닙니다. 지원 유형은 발급 서비스에 유효성을 확인하고 살아 있는 결과를 주기적으로 다시 확인합니다. 자동 검증이 어려운 유형은 담당자가 직접 검토해야 합니다. 지원되는 AWS·GCP 키는 권한 분석으로 추가 맥락을 볼 수 있습니다.

마지막으로 조치 담당자를 정합니다. 탐지 결과에는 발견 위치가 기록되며 담당자, 우선순위, 상태를 설정하고 Slack·웹훅·Telegram·이메일 알림을 보낼 수 있습니다. 담당자는 발급 서비스에서 키를 교체·폐기하고 사용 기록을 조사합니다. 지원 유형은 이후 검사에서 이전 키가 더는 인증되지 않는지 확인할 수 있습니다. 제품이 키를 직접 교체하지는 않습니다.

이 흐름만으로 알 수 없는 것

현재 제품이 커밋 이력, 인사 기록, CI/CD 설정에서 모든 담당자를 자동 추론하지는 않습니다. 모든 API 호출을 감시하거나 신원별 행동 기준선을 학습하지도 않습니다. 시크릿이 시스템 사이에서 지나온 전체 경로와 모든 사본의 삭제 여부도 보증할 수 없습니다. 이런 확인에는 인증 제공자, 소스 이력, 사용 로그와 서비스 운영팀이 필요합니다.

처음 시험할 때는 직접 관리하는 소스 하나와 안전하게 교체할 수 있는 테스트 키를 사용하세요. 커넥터 권한, 검사 시점, 결과 상세, 담당자 지정, 알림, 최종 확인까지 따라가 보면 조직의 사고 처리 절차에 맞는지 확인할 수 있습니다.