도전 과제
에잇퍼센트는 GitHub으로 코드를 관리하고 Slack과 Confluence, Jira, Notion에서 그 코드에 관해 이야기하며 P2P 대출 서비스를 운영합니다. 자격증명은 일이 오가는 자리를 따라 같이 움직입니다. 장애 대응 중에 Jira 티켓에 붙여넣은 키나 운영 문서에 적어둔 토큰은 그 도구 밖에서는 보이지 않습니다. 자격증명이 어디에 있느냐는 질문에 답하려면 다섯 곳에 따로 물어보고 그 답이 전부라고 믿는 수밖에 없었습니다. 금융 규제를 받는 사업자인 만큼, 보안팀은 그 답을 짐작이 아니라 확인된 값으로 갖고 있으려 했습니다.
솔루션
도입은 보안팀이 직접 진행했습니다. 다섯 개 플랫폼을 하루에 모두 연동했고, 설치할 에이전트도 자사 인프라에서 돌릴 것도 없었습니다. 스캔은 PoC가 끝난 뒤가 아니라 시작하는 시점부터 돌았습니다. 평가 기간 안에 첫 결과가 나왔습니다.
Cremit 도입 전에는 크리덴셜이 어디에 얼마나 노출되어 있는지 알 방법이 전혀 없었습니다. 도입 하루 만에 전체 환경에 대한 완벽한 가시성을 확보했고, 모든 알림이 실제 위협이었습니다. 오탐은 단 한 건도 없었습니다.
정대영
보안팀 팀장
도입 성과
24시간 안에 다섯 개 플랫폼의 전체 히스토리 스캔이 끝났고, 그동안 확인되지 않았던 자격증명 노출이 올라왔습니다. 올라온 건은 이미 발급처에 확인을 거친 뒤였습니다. 패턴에 걸린 문자열 전부가 아니라 실제로 인증에 성공하는 것만 보안팀에 도착했습니다. 첫날이 끝날 무렵, 다섯 개 도구에 흩어져 있던 자격증명 현황이 한 화면에 들어왔습니다.
