2026년 4월 29일
AITU CTF Final 2026 Writeup
2026년 4월 25-26일에 진행된 AITU CTF Final의 전체 writeup입니다. XXE, SSTI, SQLi를 통한 DMZ 호스트 공략, AD 횡적 이동을 통한 DEV 세그먼트 침투, cgroup 악용을 통한 privileged Docker 컨테이너 탈출, JWT JKU 헤더 인젝션을 통한 의료 시스템 침해까지의 전체 공격 체인을 다룹니다.
김태범
CTO
블로그로 돌아가기
태그
CI/CD 보안
글 7개
2026년 4월 17일
크리덴셜 스프롤: 데이터베이스 비밀번호 하나가 7개 플랫폼으로 퍼진 경로 (NHI Kill Chain #6)
PostgreSQL 마스터 비밀번호가 7개 플랫폼 유형을 횡단했습니다. 각 보안 도구는 자기 영역만 봤고, 전체 그림을 보는 도구는 없었습니다.
김동현
대표이사
2026년 4월 10일
회전되지 않은 API 키: 수년 된 크레덴셜이 여전히 프로덕션을 움직이는 이유 (NHI Kill Chain #3)
3년간 로테이션 없이 7개 시스템에 퍼진 AWS 키 하나. 공급망 공격으로 이 키가 탈취되었을 때, 공격자는 인프라 전체에 접근할 수 있었습니다. Aged Key 킬체인 분석과 단계적 로테이션 대응 가이드.
김동현
대표이사
2026년 4월 5일
섀도우 서비스 계정: 문서화되지 않은 머신 아이덴티티 탐지하기 (NHI Kill Chain #2)
프로덕션 장애 한 번으로 크리덴셜이 6개 비코드 플랫폼에 퍼졌습니다. 시크릿 스캐너는 하나도 찾지 못했습니다. Shadow Key 킬체인 분석.
김동현
대표이사
2026년 3월 25일
보안 스캐너가 해킹 도구가 된 날 — Trivy 공급망 공격의 사이버 킬체인 분석
Aqua Security의 Trivy가 해킹당해 LiteLLM까지 연쇄 감염된 TeamPCP 공급망 공격. 사이버 킬체인 7단계와 MITRE ATT&CK 매핑으로 분석하고, NHI 거버넌스 실패가 만든 연쇄 재앙의 교훈을 정리합니다.
김동현
대표이사
2026년 1월 25일
Git Secret Scanning: 2026년 완벽 가이드
Git secret scanning 완벽 가이드. TruffleHog, GitGuardian, GitHub Advanced Security, Cremit 비교. 실전 CI/CD 통합 예제와 구현 전략 포함.
김동현
대표이사
2025년 4월 18일
CI/CD 시크릿 관리 가이드: 파이프라인 단계별 크레덴셜 유출 방지 베스트 프랙티스
CI/CD 파이프라인의 어느 단계에서 크레덴셜이 유출되는지, pre-commit·빌드·배포 단계별로 무엇을 스캔해야 하는지, 배포 속도를 해치지 않고 시크릿 탐지를 통합하는 방법을 정리합니다.
김동현
대표이사