S3 버킷의 자격증명: 발견 뒤 확인할 4가지

S3 객체에서 자격증명처럼 보이는 문자열을 찾았다면 조사할 위치를 확보한 것입니다. 그 사실만으로 객체가 공개됐거나 키가 아직 작동하거나 누군가 사용했다고 단정할 수는 없습니다. 세 가지는 각각 확인해야 합니다.

자격증명은 어떻게 S3에 남을까

설정 파일 내보내기, 애플리케이션 로그, 백업, 지원 자료 등에 다른 서비스에서 쓰던 키가 들어갈 수 있습니다. 객체가 비공개여도 읽기 권한이 있는 주체는 그 내용을 볼 수 있습니다. S3 저장 시 암호화는 권한을 가진 사람이 내려받은 내용에서 키를 없애 주지 않습니다.

1. 누가 객체를 읽을 수 있었는지 확인

키 값을 티켓에 복사하지 말고 버킷, 객체 경로, 발견 시각을 기록하세요. 계정과 버킷의 S3 퍼블릭 액세스 차단 설정을 확인하고, 버킷·액세스 포인트·IAM 정책을 살펴보세요. 비공개 객체와 공개적으로 읽을 수 있는 객체는 노출 범위를 다르게 판단해야 합니다.

해당 버킷과 기간에 CloudTrail S3 객체 데이터 이벤트를 켜 두었다면 GetObject 같은 읽기 기록을 확인하세요. 객체 데이터 이벤트는 기본으로 기록되지 않습니다. 애초에 수집하지 않은 로그에 기록이 없다는 이유로 아무도 읽지 않았다고 결론 내릴 수는 없습니다.

2. 스캔이 실제로 읽은 범위 확인

Cremit은 연결한 S3 소스에서 목록을 보고 읽을 수 있는 객체를 검사합니다. 버킷 연결 누락, GetObject·KMS 복호화 권한 거부, 보관 계층, 지원하지 않는 형식이나 스캔 제한은 빈틈이 될 수 있습니다. 버킷에 발견 건이 없다고 판단하기 전에 소스 상태와 건너뛴 객체, 읽지 못한 객체를 확인하세요.

현재 S3 연동은 현재 객체 목록을 읽으며, 버전 관리 버킷의 이전 버전을 열거하지 않습니다. 현재 객체를 삭제해도 이전 버전이 남을 수 있습니다. 키가 과거 버전에 있었을 가능성이 있다면 버전 기록과 보존 규칙을 따로 확인해야 합니다.

3. 발급처에서 키 상태 확인

패턴에 맞았다는 사실만으로 유효한 키라고 볼 수 없습니다. Cremit은 지원하는 자격증명 유형만 발급처에서 현재 유효성을 확인하며, 나머지는 직접 검토해야 합니다. 해당 AWS·GCP 연동과 키 유형을 지원하면 접근 정보를 우선순위 판단에 사용할 수 있습니다. S3 발견 건만으로 전체 권한이나 악용 여부를 알 수는 없습니다.

4. 발급처 조치와 복사본 정리

키를 사용하는 서비스와 조치 담당자를 확인하세요. 발급처에서 키를 교체하거나 폐기하고, 의존하는 서비스가 정상 작동하는지 확인한 뒤 조치 기록을 남깁니다. 조사에 필요한 객체 위치와 로그를 기록하되 차단을 늦추지 마세요. 이후 조직의 보존 정책에 따라 현재 객체와 이전 버전, 다른 복사본의 키를 정리합니다.

Cremit과 Macie의 역할

Amazon Macie는 분석할 수 있는 S3 객체에서 자격증명 형태의 민감 정보를 보고할 수 있지만 보관 계층, 형식, 접근 권한에 따라 범위가 달라집니다. Cremit은 지원하는 연결 소스의 자격증명 발견과 지원 유형의 발급처 확인에 초점을 둡니다. 어느 쪽의 탐지 결과도 공개 노출, 모든 키의 유효성, 실제 악용을 단독으로 증명하지는 않습니다.