OWASP NHI5: 머신 계정 권한 점검 순서

2026년 10월 4일 수정. 이전 글은 OWASP NHI5 설명에 근거가 부족한 AI 에이전트 시나리오를 섞고, Cremit이 권한을 자동 관리하는 것처럼 범위를 넓혀 썼습니다. 발견된 키, 발급처의 권한 부여, 실제 유효 접근, 사용 기록을 구분해 다시 썼습니다.

OWASP NHI5는 어떤 위험인가요?

OWASP NHI5:2025는 머신 신원에 작업에 필요한 범위를 넘는 권한이 부여된 경우를 다룹니다. 서비스 계정이 예전 작업의 권한을 계속 갖고 있거나, 편의를 위해 넓은 정책을 받을 수 있습니다. 과도한 권한은 별도의 초기 침해가 일어난 뒤 피해 범위를 키울 수 있습니다. 그 자체로 키가 유출됐거나 누군가 로그인했거나 권한을 사용했다는 증거는 아닙니다.

조사할 질문은 세 가지입니다. 이 작업에는 어떤 접근이 필요한가요? 계정에는 어떤 권한이 부여됐나요? 발급처의 정책 규칙을 적용하면 실제로 무엇을 할 수 있나요? 소스 코드에서 키를 발견했다는 결과는 또 다른 질문, 즉 자격증명이 어디에 노출됐는지에 답합니다.

사고 사례가 아닌 가상의 예시

정기 작업이 보고서 한 건만 읽는다고 가정해 봅시다. 이 작업의 AWS 액세스 키는 이름이 넓은 정책이 붙은 IAM 사용자를 가리킵니다. 점검할 만한 차이지만 정책 이름만으로 실제 접근 가능 범위를 단정할 수는 없습니다. 정책 본문, 리소스 정책, 권한 경계, 조직 제어, 조건을 확인하고 작업이 실제 호출하는 API와 담당자를 찾은 뒤 권한 축소를 제안합니다. 이 예시는 Cremit의 실제 탐지 결과나 측정치가 아닙니다.

확인할 기록 다섯 가지

1. 작업과 담당자

서비스, 환경, 작업, 담당자를 적습니다. 필요한 리소스와 동작을 나열합니다. 무슨 작업인지 모른다면 접근을 삭제하기 전에 추적할 사람을 지정합니다.

2. 자격증명과 발급 계정

발급처에서 키 식별자, 계정, 현재 상태를 확인합니다. 활성, 비활성, 만료, 확인 불가를 구분합니다. 소스 코드의 패턴 탐지와 발급처에서의 유효성 확인은 서로 다른 근거입니다.

3. 부여된 권한과 유효 접근

발급처에서 정책, 역할, 그룹, 리소스 정책, 권한 경계, 조직 제어, 관련 조건을 살핍니다. AWS에 따르면 신원 정책과 리소스 정책이 함께 평가되고 명시적 거부와 다른 정책 유형이 요청을 제한할 수 있습니다. 연결된 정책의 이름은 조사 단서이지 유효 접근에 관한 완전한 답이 아닙니다.

4. 사용 기록과 관찰 범위

기간을 정해 발급처 로그와 접근 분석 도구를 확인합니다. AWS IAM Access Analyzer는 사용되지 않은 접근을 찾고 CloudTrail 활동에 기반한 정책 초안을 만들 수 있지만, 지원 서비스와 관찰 기간에 한계가 있습니다. 기록이 없더라도 로그 수집 범위 밖이거나 드물게 실행되는 작업일 수 있습니다. 제안된 정책은 담당자와 검토하고 시험해야 합니다. 관찰되지 않은 모든 권한을 안전하게 없앨 수 있다는 뜻은 아닙니다.

5. 변경과 검증

발급처 담당자가 작업에 필요한 범위로 권한을 줄이고 종속 작업을 시험한 뒤, 원치 않는 동작이 더 이상 허용되지 않는지 확인합니다. 노출된 활성 키가 있다면 발급처에서 키를 교체하거나 폐기하는 별도 조치도 계획합니다. 결정, 승인자, 시험 결과, 남은 의문을 기록합니다.

AWS 액세스 키와 GCP API 키를 구분하세요

AWS 액세스 키는 IAM 계정을 인증하며 실제 권한은 AWS 정책 평가에 따라 달라집니다. Google Cloud API 키는 지원 API에서 프로젝트나 호출자를 식별하고 애플리케이션 및 API 제한을 둘 수 있습니다. 이 키 제한은 Google Cloud IAM 역할 부여와 다릅니다. 서비스 계정이나 다른 주체가 관여한다면 해당 IAM 역할을 따로 조사해야 합니다.

현재 Cremit 발견 결과 화면은 제공 가능한 AWS IAM 사용자, 연결·인라인 정책 이름과 그룹 정보를 보여줍니다. GCP API 키에는 키, 프로젝트, 대상 API, 호출자 제한 정보를 보여줍니다. 발급처 조사의 출발점이 될 수 있지만, 모든 유효 권한을 계산하거나 실제 사용·침해를 입증하거나 정책 변경과 키 교체를 자동으로 수행하지는 않습니다. 정보가 없거나 일부만 확인됐다면 그대로 미확인으로 기록해야 합니다.