노출된 자격증명의 담당자를 모를 때

2026년 10월 3일 수정. 기존 글은 출처를 확인할 수 없는 ‘자격증명 3,400개 중 60%의 담당자가 없다’는 수치를 실제 감사 결과처럼 서술했습니다. 해당 수치를 삭제하고, 담당자가 불분명한 탐지 결과를 실제로 어떻게 조사할지 다시 정리했습니다.

담당자 미확인 키란

저장소나 문서에서 자격증명을 찾았지만 누가 조치할지 알 수 없는 상태입니다. 파일을 커밋한 사람이 서비스를 운영한다고 단정할 수 없고, 키를 만든 계정이 자동화 계정일 수도 있습니다. 둘 다 조사 단서이지 담당자의 증거는 아닙니다.

담당자가 없어도 키는 작동하고 넓은 권한을 가질 수 있습니다. 먼저 현재 유효한지, 무엇에 접근할 수 있는지, 어떤 작업이 이 키에 의존하는지 확인해야 안전하게 교체할 수 있습니다.

추측하지 않고 소유자를 찾는 순서

발급 서비스에서 계정·프로젝트, 생성일과 만료일, 권한, 마지막 사용 정보를 확인하세요. 가능하면 감사 로그에서 생성과 최근 사용 기록을 살핍니다. 조사 중에 키 값을 티켓이나 채팅에 복사하지 마세요.

키가 발견된 곳도 살펴봅니다. 저장소 경로와 커밋 기록, 배포 설정, 문서 담당자는 서비스와 문의할 사람을 찾는 단서가 됩니다. 서비스 목록 및 현재 운영 담당자와 대조하세요. 정보가 맞지 않으면 임의로 담당자를 지정하지 말고 조사 책임자를 먼저 정합니다.

여러 서비스가 공유하는 키라면 교체 전에 알려진 의존성을 모두 파악해야 합니다. 무작정 폐기하면 운영이 중단될 수 있지만 노출된 키를 그대로 두는 것도 위험합니다. 서비스 담당자와 보안 대응자가 교체 계획을 함께 세우세요.

조치하고 다시 같은 일이 생기지 않게 하기

키가 아직 유효하고 노출됐을 가능성이 있으면 발급 서비스에서 교체하거나 폐기하세요. 기존 키가 더 이상 작동하지 않는지, 새 키가 안전하게 보관됐는지, 의존 서비스가 정상인지 확인합니다. 발급 서비스의 접근 로그에서 오용 징후를 조사하고 탐지 결과에 조치 기록을 연결합니다.

자격증명 기록에 담당자, 사용 서비스, 목적, 만료·재검토일, 교체 절차를 적으세요. 공유 인프라에는 예비 담당자도 정합니다. 역할이 바뀌거나 연동이 종료될 때 이 정보를 다시 확인해야 합니다.

Cremit이 돕는 범위

Cremit Platform은 지원하는 연결 소스에서 발견한 자격증명의 위치를 보여주고, 지원 유형의 유효성을 확인하며, 탐지 결과에 조치 담당자를 지정할 수 있습니다. 디렉터리 동기화를 통해 비활성 계정과 연결된 결과도 검토할 수 있습니다. 하지만 모든 키의 담당자를 감사 로그에서 자동 추론하거나 사용처 전체를 자동으로 매핑하지는 않습니다. 발급 서비스와 실제 작업을 운영하는 담당자의 확인이 필요합니다.

참고 자료

OWASP, Non-Human Identities Top 10: https://owasp.org/projects/non-human-identities-top-10

GitHub 문서, 시크릿 검사: https://docs.github.com/en/code-security/concepts/secret-security/secret-scanning