태그

시크릿 스캐닝

글 9개

2026년 8월 5일

대시보드는 시크릿 14,000개라고 합니다. 의미 있는 숫자는 525개입니다

시크릿 스캐너는 늘 큰 숫자를 내놓습니다. 그리고 그 숫자로 할 수 있는 일은 거의 없습니다. 탐지된 건을 하나씩 발급 서비스에 물어 검증했더니 다섯 자리 탐지 건수가 실제로 작동하는 크레덴셜 세 자리로 줄었습니다. 이 붕괴가 우선순위와 억제 정책, 그리고 경영진 보고에 무엇을 의미하는지 정리했습니다.

김동현

대표이사

2026년 7월 22일

시크릿 스캐닝 오탐: 왜 생기고 어떻게 없애는가

시크릿 스캐너는 팀을 거짓 경보로 파묻는 것으로 악명 높습니다. 그리고 무시당한 알림 하나하나가 진짜 유출이 숨을 자리가 됩니다. 이 기술 가이드는 시크릿 스캐닝 오탐의 두 가지 근본 원인, 오픈소스 룰셋을 그대로 가져올 때 문제가 왜 더 커지는지, 그리고 능동 검증이 어떻게 시끄러운 탐지 결과를 팀이 신뢰할 수 있는 신호로 바꾸는지를 설명합니다.

김동현

대표이사

2026년 6월 13일

슬랙 웹훅은 쓰기 전용입니다, AI 에이전트가 그 채널을 읽기 전까지는

유출된 슬랙 incoming webhook은 보통 낮은 심각도로 분류됩니다. 쓰기 전용에 채널 하나, 데이터 접근도 없기 때문입니다. 그러나 AI 에이전트가 그 채널을 읽고 도구로 행동하는 순간, 그 쓰기 전용 권한은 에이전트의 권한으로 들어가는 indirect prompt injection 경로가 됩니다. 전체 킬체인과 성립 조건, 방어법을 정리했습니다.

김동현

대표이사

2026년 4월 25일

Bitwarden CLI 해킹 (2026년 4월): 90분간 npm으로 AWS·GCP·GitHub 토큰이 탈취된 경위

2026년 4월 22일, 공식 @bitwarden/cli@2026.4.0 npm 패키지가 약 90분간 악성으로 배포됐습니다. 자기 전파 워엄이 CI 러너에서 AWS·Azure·GCP·GitHub·npm·SSH·AI 도구 자격증명을 빼냈습니다. Vault는 무사, CI 토큰은 위험. 타임라인, NHI Kill Chain 매핑, 10분 안에 끝내는 영향 점검 체크리스트를 정리했습니다.

김동현

대표이사

2026년 4월 20일

Vercel 2026년 4월 보안 사고, 결국 NHI 문제입니다: 무엇부터 교체해야 하는가

2026년 4월 19일 Vercel이 공식 확인한 사고는 한 직원이 쓰던 서드파티 AI 도구에서 시작돼 Google Workspace를 거쳐 Vercel 내부 시스템에 도달했고, 일부 고객 프로젝트의 환경 변수 중 sensitive 플래그가 없던 값들이 노출됐습니다. 확인된 사실과 루머를 나누고, 지금 무엇부터 교체해야 하는지 정리했습니다.

김동현

대표이사

2026년 4월 14일

만료됐는데 여전히 작동하는 크레덴셜: 좀비 키 문제 (NHI Kill Chain #5)

Secret scanning alert: Resolved. 크리덴셜 상태: Active. 코드에서 지우는 것과 폐기하는 것은 완전히 다릅니다. Zombie Key 킬체인 분석.

김동현

대표이사

2026년 3월 17일

공개 노출된 API 키: 크레덴셜이 오픈 저장소에 도달하면 벌어지는 일 (NHI Kill Chain #7)

.env 파일이 GitHub 공개 저장소에 push된 지 4분 만에 공격자 봇이 탐지합니다. 크리덴셜 노출에서 인프라 침해까지의 Kill Chain 전체를 분석하고, 피해가 발생하기 전에 탐지하고 대응하는 방법을 다룹니다.

김동현

대표이사

2026년 3월 7일

GitHub Issue 제목 하나가 4,000대 개발자 머신을 감염시킨 방법

AI 코딩 도구 Cline의 GitHub Issue 트리아지 봇에 프롬프트 인젝션을 주입해 npm 토큰을 탈취하고, 4,000대의 개발자 머신에 악성 AI 에이전트를 설치한 Clinejection 공격. AI가 AI를 설치하는 새로운 공급망 공격이 시작되었습니다.

김동현

대표이사

2026년 1월 25일

Git Secret Scanning: 2026년 완벽 가이드

Git secret scanning 완벽 가이드. TruffleHog, GitGuardian, GitHub Advanced Security, Cremit 비교. 실전 CI/CD 통합 예제와 구현 전략 포함.

김동현

대표이사