NHI Kill Chain 시리즈
자격증명 위험 패턴 8가지와 대응 순서
자격증명이 오래 남거나 여러 곳에 복사되고 담당자가 불분명해지는 경로를 살펴봅니다. 8가지 위험 패턴과 이를 묶어 설명하는 요약 글에서 확인할 신호와 대응 순서를 정리했습니다.
왜 같은 방식으로 계속 무너지는가
퇴사자와 연결된 키가 계속 작동하거나, 비밀번호가 원래 보관 장소를 벗어나 문서에 남을 수 있습니다. 여러 서비스가 하나의 키를 공유하면 교체도 어려워집니다.
이 시리즈는 위험 경로 8가지를 각각 살펴보고 마지막 글에서 공통 대응 순서를 정리합니다. 도입부의 구체적인 회사와 인물은 설명을 위한 가상 사례입니다.
한 키에 여러 문제가 겹칠 수 있습니다. 키가 공개됐고, 오래됐으며, 담당자도 모를 때는 이름을 붙이는 것보다 유효성·권한·사용처를 확인하고 안전하게 교체하는 일이 먼저입니다.
한 키에 여러 위험이 겹칠 수 있습니다
공개 저장소에 있는 키가 오래됐고 여러 서비스에서도 쓰인다면 Public, Aged, Over-shared 위험을 함께 살펴야 합니다. 실제 사고의 원인과 영향 범위는 발급 서비스의 접근 기록과 해당 작업의 설정을 확인해야 판단할 수 있습니다.
각 패턴의 이름은 조사 항목을 정리하는 데 쓰세요. 원인과 조치 우선순위는 이름보다 키의 유효성, 권한, 노출 위치, 의존 서비스가 결정합니다.
위험 패턴 8편과 요약 글
소유자 없는 API 키
소유자가 없고 생명주기 관리도 없는 자격증명이 프로덕션에 계속 남는 문제.
섀도우 서비스 계정
인벤토리 밖에서 생성된 머신 아이덴티티가 권한 있는 작업을 수행하는 문제.
회전되지 않은 키
의도한 수명을 수년 넘긴 자격증명이 여전히 프로덕션 접근권을 부여하는 문제.
과도한 권한의 키
단일 작업이 필요한 수준보다 훨씬 많은 접근권을 부여하는 단일 자격증명.
좀비 키
만료 또는 폐기 처리됐지만 여전히 인증에 성공하는 자격증명.
드리프트된 키
개발 환경에서 시작해 스테이징·프로덕션까지 감사 흔적 없이 흘러가는 자격증명.
공개 노출된 키
공개 저장소, 패키지 레지스트리, 클라이언트 번들에서 발견되는 자격증명.
소유권 불분명한 키
사용 중이지만 소유자·용도·회전 주기를 아무도 답할 수 없는 자격증명.
위험 패턴 8가지와 대응 순서
유효성 확인부터 조사, 담당자 지정, 키 교체까지의 순서를 정리했습니다.
어디부터 읽어야 할까
목적에 따라 진입점이 다릅니다. 시리즈 전체를 처음부터 읽을 필요는 없습니다.
- 최근에 사고가 있었다면: Zombie Key(#5) + Public Key(#7)부터. 노출된 키의 유효성과 공개 위치를 확인할 때 참고할 수 있습니다.
- 감사·컴플라이언스 점검 앞두고 있다면: Ghost Key(#1) + Unattributed Key(#8) + Aged Key(#3). 인벤토리·소유권·회전 정책의 빈틈 세 가지를 다룹니다.
- NHI 개념이 처음이라면: 시리즈 총정리(#9)부터. 위험 패턴 여덟 가지를 한눈에 보여주고 각 편으로 들어가는 진입점도 함께 제공합니다.
- CI/CD 보안에 집중하고 있다면: Drifted Key(#6) + Over-shared Key(#4). 파이프라인이 자격증명을 어떻게 flatten·복제하는지 분석합니다.
각 편은 독립적으로 읽힙니다. 같은 사고를 다른 각도에서 분해하기 때문에, 두세 편을 나란히 두면 빠르게 패턴을 알아보는 감이 잡힙니다.
자주 묻는 질문
NHI(Non-Human Identity)란 정확히 무엇입니까?
NHI는 서비스 계정, API 키, OAuth 토큰, 인증서, CI/CD 봇 토큰처럼 사람이 아닌 시스템이 인증에 사용하는 신원과 자격증명입니다. 조직마다 수와 관리 방식이 달라 일률적인 비율보다 실제 목록과 담당자를 확인하는 것이 중요합니다.
OWASP NHI Top 10과 어떻게 다릅니까?
OWASP NHI Top 10은 비인간 신원의 보안 위험을 분류합니다. 이 시리즈는 자격증명이 어디에 남고 어떻게 노출되는지 사례형으로 설명하며, 각 상황에서 확인할 자료와 대응 순서를 정리합니다.
시리즈 전체를 읽으려면 얼마나 걸립니까?
글마다 길이가 다릅니다. 관심 있는 패턴부터 읽고, 마지막 요약 글에서 공통 대응 순서를 확인할 수 있습니다.
이 패턴을 자동으로 탐지할 방법이 있습니까?
일부 패턴은 지원하는 연결 소스에서 노출된 자격증명을 찾고 유효성을 확인하는 방식으로 조사할 수 있습니다. Cremit Platform은 연결한 저장소·저장 공간·협업 도구·컨테이너 이미지에서 키를 찾고, 지원 유형은 발급 서비스에 유효성을 확인합니다. 실제 사용 내역과 권한은 해당 서비스의 로그를 따로 조사해야 합니다. 키의 교체와 폐기도 담당자가 발급 서비스에서 진행합니다. 이 시리즈는 각 패턴을 점검할 때 볼 신호와 필요한 조치를 정리합니다.
이 시리즈는 누가 썼습니까? 검증된 내용입니까?
Cremit이 공개 자료와 자격증명 탐지 경험을 바탕으로 작성했습니다. 외부 사고를 다룬 글에는 확인 가능한 원문 자료를 링크합니다. 각 패턴은 조사할 때 살펴볼 관점이며, 제품이 모든 패턴을 자동으로 판정한다는 뜻은 아닙니다.
연결한 소스에서 노출된 자격증명 확인하기
Cremit Platform은 지원하는 연결 소스를 검사하고 일부 자격증명의 유효성을 확인합니다. 담당자 확인과 키 교체는 팀이 진행합니다.
무료로 시작하기