Secret 확산과 Non Human Identity: 증가하는 보안 문제
시크릿 확산은 비밀번호 관리 문제가 아니라 비인간 신원이 흩어지는 문제입니다. 어디에 쌓이는지, 탐지 도구가 어디까지 줄여주는지 봅니다.
목차(9)
목차
인프라 복잡성이 기하급수적으로 증가함에 따라 조직은 종종 너무 늦게 끊임없이 확장되는 보안 위협에 직면합니다. 바로 Secret 확산입니다. 인프라가 점점 더 복잡해지고 자동화됨에 따라 문제는 단순한 비밀번호 관리를 넘어 "비인간 신원(NHI) 확산"이라는 광범위한 문제로 진화했습니다. 이 블로그 게시물에서는 이러한 보안 문제의 본질과 크리밋과 같은 탐지 도구가 관련 위험을 완화하는 데 어떻게 도움이 되는지 살펴봅니다.
Secret 확산으로 인한 숨겨진 위협 이해
Secret 확산은 조직의 인프라 및 개발 수명 주기 내 다양한 위치에 걸쳐 민감한 자격증명이 통제되지 않고 배포 및 저장되는 것을 의미합니다. 이러한 Secret에는 인증 및 권한 부여에 필요한 비밀번호, API 키, 암호화 키, SSH 키, 인증서 및 기타 민감 데이터가 포함됩니다.
이는 종종 소스 코드에 하드 코딩된 데이터베이스 사용자 이름 및 비밀번호, 구성 파일 내 노출되는 자격증명, 버전 제어 시스템 내의 Secret, 위키, 공유 드라이브 및 메시징 플랫폼에 분산된 민감한 정보로 나타납니다.
이 문제의 규모는 엄청납니다. 2021년 보고서에 따르면 공개 저장소에서 최대 6백만 개의 Secret이 노출되었으며 이는 전년 대비 50% 증가한 수치입니다. 더욱 우려스러운 것은 노출된 Secret의 90% 이상이 노출 후 5일 동안 유효하게 유지되어 지속적인 취약성을 야기한다는 것입니다.
Secret 확산에서 NHI 확산으로
이 문제는 기존의 Secret을 넘어 보안 전문가들이 "NHI 확산"(비인간 신원 확산)위협으로 진화했습니다. 여기에는 Machine 및 자동화된 프로세스에서 사용되는 토큰, API 키, 서비스 계정 및 기타 자격증명의 확산이 포함됩니다.
최신 클라우드 네이티브 환경에서는 비인간 신원이 인간 사용자보다 훨씬 많은 경우가 많습니다. 각 마이크로서비스, 컨테이너, 서버리스 기능 및 자동화된 워크플로가 작동하려면 자체 자격증명 세트가 필요합니다. 클라우드 도입이 가속화되고 인프라가 더욱 분산됨에 따라 이러한 기계 ID의 수는 기하급수적으로 계속 증가하고 있습니다.
관리되지 않는 NHI 확산의 위험
제대로 관리되지 않는 비인간 신원의 결과는 심각합니다.
확장되는 공격 표면: 문서화되지 않은 각 자격증명은 공격자의 잠재적인 진입점을 노출할 시킬 수 있습니다. 조직 전체에 걸쳐 수천 개의 Machine ID가 존재하므로 광범위한 공격 표면이 생성됩니다.가시성 문제: 조직은 모든 비인간 신원의 정확한 인벤토리를 유지하는 데 어려움을 겪는 경우가 많습니다. 많은 보안 팀은 실제로 어떤 자격증명이 존재하는지 또는 어디에 저장되어 있는지 알지 못합니다.수정의 어려움: 침해가 발생하면 조직은 어떤 자격증명이 손상되었는지 또는 효과적으로 교체하는 방법을 쉽게 식별할 수 없는 경우가 많습니다.상당한 재정적 영향: 업계 보고서에 따르면 손상된 자격증명으로 인한 데이터 유출로 인해 2022년에 조직은 평균 435만 달러의 비용을 지불했습니다.확장성 문제: Secret 확산은 시간이 지남에 따라 악화되는 문제이며 결국 조직의 성장과 민첩성을 저해합니다.
NHI 확산의 일반적인 원인
여러 요인이 비인간 신원의 확산에 기여합니다.
영구적으로 사용되는 Secret: 개발자는 테스트 또는 프로토타입 개발 중에 자격증명을 하드 코딩하는 경우가 많으며 이는 프로덕션 환경으로 유입됩니다.중앙 집중식 관리 부족: Machine ID를 관리하기 위한 전용 시스템이 없으면 다양한 플랫폼과 저장소에 걸쳐 축적됩니다.클라우드 도입: 클라우드 리소스에 액세스하려면 Secret이 필요하며 각 Secret은 잠재적인 보안 위험을 나타내므로 멀티 클라우드 환경이 특히 취약합니다.버전 제어 시스템에서의 노출: 강력히 권장되지 않음에도 불구하고 자격증명은 계속해서 버전 제어 시스템에 저장됩니다. 제거되더라도 Git의 기록은 이러한 Secret의 기록을 보존합니다.관리되지 않는 자격증명: 개발자가 조직을 떠나거나 프로젝트가 완료되면 관련 자격증명은 해지해야 한다는 것을 아무도 모르기 때문에 활성 상태로 유지되는 경우가 많습니다.
크리밋이 Secret 확산 문제를 해결하는 데 어떻게 도움이 될 수 있나요?
NHI 확산을 해결하려면 다각적인 접근 방식이 필요하며 Secret 탐지가 중요한 역할을 합니다. 크리밋은 Secret 확산과 관련된 위험을 크게 줄일 수 있는 몇 가지 기능을 제공합니다.
Cremit은 연결한 저장소와 지원하는 협업·클라우드 소스에서 노출된 자격증명을 찾습니다. GitHub App을 통한 새 풀 리퀘스트 검사는 요청을 받을 때 실행할 수 있고, 다른 소스는 정해진 주기로 검사합니다. 로컬 pre-commit hook과 CI 검사는 키가 저장소에 들어가기 전에 막기 위한 별도 통제입니다. 이미 노출된 키는 발급 서비스에서 교체하거나 폐기해야 합니다.
포괄적인 NHI 보안 전략 구현
Secret 탐지는 강력한 NHI 보안 전략의 기반 역할을 합니다.
중앙 집중식 Secret 관리: 안전한 저장, 세분화된 액세스 제어, 감사 로그 및 교체 기능을 제공하는 전용 키 관리 시스템을 구현합니다.최소 권한 원칙 채택: 비인간 신원이 기능을 수행하는 데 필요한 최소 권한만 갖도록 합니다.정기적인 교체 및 Revoke: 자격증명을 정기적으로 교체하고 더 이상 필요하지 않은 자격증명을 즉시 Revoke하는 자동화된 프로세스를 구현합니다.개발자 교육: 안전한 코딩 관행과 자격증명 하드 코딩과 관련된 위험에 대해 개발자를 교육합니다.모니터링 및 경고: 자격증명 사용에 대한 지속적인 모니터링을 구현하고 의심스러운 활동에 대한 경고를 설정합니다.
요약
조직이 클라우드 네이티브 아키텍처와 자동화를 계속 사용함에 따라 비인간 신원을 관리하는 문제는 더욱 복잡해질 것입니다. Secret 확산과 NHI 확산으로의 진화는 중요하지만 종종 간과되는 보안 위험을 나타냅니다.
자동화된 Secret 탐지를 위해 크리밋을 구현하고 포괄적인 자격증명 관리 관행과 결합함으로써 조직은 공격 표면을 크게 줄이고 보다 탄력적인 보안 태세를 구축할 수 있습니다. 핵심은 자격증명 확산에 기여하는 기술적 및 조직적 요인을 모두 해결하여 문제를 전체적으로 접근합니다.
비인간 신원을 보호할 준비가 되셨습니까?
Secret 확산 문제를 노출하는 침해를 기다리지 마십시오. 지금 조치를 취하여 조직의 기밀 데이터를 보호하십시오.
지금 크리밋 사용 시작, 강력한 탐지 플랫폼으로 비인간 신원을 보호하는 여정을 시작하세요.데모 예약, 크리밋이 환경에서 Secret 확산을 식별하고 수정하는 데 어떻게 도움이 되는지 직접 확인하세요!
관련 글
이어서 읽기
목록에 없을 뿐, 비공개는 아닙니다
공개된 공격 표면 33곳을 전수 조사해 지금도 작동하는 머신 자격증명 23,912개를 발견했습니다. 각 키의 권한 범위를 등급으로 분류했고, 그중 1,277개는 키를 폐기해도 접근이 차단되지 않았습니다.
대시보드는 시크릿 14,000개라고 합니다. 의미 있는 숫자는 525개입니다
시크릿 스캐너는 늘 큰 숫자를 내놓습니다. 그리고 그 숫자로 할 수 있는 일은 거의 없습니다. 검증할 수 있는 탐지 건을 발급 서비스에 물어 확인했더니 다섯 자리 탐지 건수가 실제로 작동하는 자격증명 세 자리로 줄었고, 자동으로 확인할 수 없는 건은 따로 남았습니다. 이 붕괴가 우선순위와 억제 정책, 그리고 경영진 보고에 무엇을 의미하는지 정리했습니다.
슬랙 웹훅은 쓰기 전용입니다, AI 에이전트가 그 채널을 읽기 전까지는
유출된 슬랙 incoming webhook은 보통 낮은 심각도로 분류됩니다. 쓰기 전용에 채널 하나, 데이터 접근도 없기 때문입니다. 그러나 AI 에이전트가 그 채널을 읽고 도구로 행동하는 순간, 그 쓰기 전용 권한은 에이전트의 권한으로 들어가는 indirect prompt injection 경로가 됩니다. 전체 킬체인과 성립 조건, 방어법을 정리했습니다.
다음 글을 메일로 받아보세요
Cremit 리서치 팀의 월간 NHI 브리프. 한 통에 핵심만 담습니다.