NHI Kill Chain 시리즈

왜 같은 방식으로 계속 무너지는가

NHI 보안의 가장 큰 어려움은 새로운 위협이 매주 등장하기 때문이 아닙니다. 같은 패턴이 다른 회사에서 다른 시기에 반복해서 발생하기 때문입니다. 퇴사한 개발자의 AWS 키가 90일 넘게 살아 있고, 시크릿 매니저 옆에 비밀번호가 그대로 하드코딩되며, 3년 동안 한 번도 회전되지 않은 키가 프로덕션 전체를 떠받칩니다.

이 시리즈는 Cremit이 고객사 환경에서 직접 관찰한 9가지 구조적 실패 모드를 분석합니다. 각 편은 특정 자격증명 실패 패턴이 실제로 어떻게 침해로 이어지는지 사례·탐지 방법·대응 절차로 구성됩니다. 추상적인 best practice가 아니라 한 번이라도 사고를 본 적 있다면 바로 알아볼 수 있는 패턴입니다.

마지막 9편(시리즈 총정리)은 8가지 패턴이 어떻게 서로를 트리거하며 한 사건의 연쇄가 되는지, 그리고 이 모든 것을 해결하는 단 하나의 원칙은 무엇인지 정리합니다.

한 사고는 보통 두세 가지 패턴이 겹쳐서 일어난다

실제 침해 사례를 분해해 보면, 한 가지 실패만으로 끝나는 경우는 거의 없습니다. 2026년 4월 Bitwarden CLI npm 공급망 사건은 Public Key(공개 노출), Aged Key(회전되지 않은 CI 토큰), Over-shared Key(여러 환경이 같은 키 사용)의 결합이었습니다. 2025년 tj-actions/changed-files 사건은 Drifted Key(개발 → 프로덕션 흐름)와 Unattributed Key(소유자 불명)가 만들어낸 결과였습니다.

각 편을 독립된 한 가지 위험으로 읽어도 가치가 있지만, 시리즈 전체를 함께 읽으면 실제 사고 시나리오를 디버깅하는 능력이 생깁니다. 사후 분석 회의에서 "이건 Ghost Key였고, Aged Key가 추가로 있었네" 같은 식으로 이름을 붙여 부를 수 있게 됩니다.

어디부터 읽어야 할까

목적에 따라 진입점이 다릅니다. 시리즈 전체를 처음부터 읽을 필요는 없습니다.

• 최근에 사고가 있었다면: Zombie Key(#5) + Public Key(#7)부터. 두 패턴이 사후 분석에서 가장 자주 나옵니다.
• 감사·컴플라이언스 점검 앞두고 있다면: Ghost Key(#1) + Unattributed Key(#8) + Aged Key(#3). 인벤토리·소유권·회전 정책의 빈틈 세 가지를 다룹니다.
• NHI 개념이 처음이라면: 시리즈 총정리(#9)부터. 9편 전체를 한눈에 보여주고 각 편으로 들어가는 진입점도 함께 제공합니다.
• CI/CD 보안에 집중하고 있다면: Drifted Key(#6) + Over-shared Key(#4). 파이프라인이 자격증명을 어떻게 flatten·복제하는지 분석합니다.

각 편은 독립적으로 읽힙니다. 같은 사고를 다른 각도에서 분해하기 때문에, 두세 편을 나란히 두면 빠르게 패턴을 알아보는 감이 잡힙니다.

자주 묻는 질문