크리밋, 유출 API 키 대응 플레이북 공개

비인간 신원(NHI) 보안기업 크리밋(대표 김동현)은 유출된 애플리케이션 프로그래밍 인터페이스(API) 키와 클라우드 자격증명 사고에 대응하는 플레이북 ‘블라스트 래디어스(Blast Radius)’를 공개했다고 4일 밝혔다.

비인간 신원은 사람이 직접 사용하는 계정이 아니라 API 키와 서비스 계정, 토큰처럼 시스템이나 애플리케이션이 사용하는 인증 정보를 뜻한다.

플레이북은 유출된 키를 바로 삭제하는 대신 침투 경로와 사용 흔적을 먼저 확보하는 데 초점을 맞췄다. 대응 절차는 식별, 노출 범위 확인, 영향 범위 분석, 사용 조사, 차단·키 교체, 사고 종료 등 6단계로 구성했다.

크리밋은 초기 사고 대응 과정에서 키를 먼저 폐기하면 조사에 필요한 일부 정보를 확보하기 어려울 수 있다고 설명했다. 이에 따라 신고와 차단 전에 필요한 로그와 증거를 우선 확보하도록 절차를 구성했다.

클라우드 환경별 조사 방법도 담았다. 플레이북은 아마존웹서비스(AWS)가 공개된 접근키에 적용하는 격리 정책이 역할 전환이나 시크릿 조회와 같은 일부 행위를 막지 않는다고 분석했다. 구글클라우드플랫폼(GCP)과 마이크로소프트 애저(Azure)는 기본 로깅 설정만으로 시크릿 접근 흔적을 충분히 확보하기 어려울 수 있다고 지적했다.

부록에는 AWS 액세스 키 ID를 활용한 계정 확인 방법과 깃허브(GitHub) 토큰 판별 방법, 사고 발생 직후 수집해야 할 로그의 순서를 정리한 실행 절차가 포함됐다.

김동현 크리밋 대표는 “키가 유출된 뒤 단순 삭제부터 하면 침투 경로를 확인하는 데 필요한 증거를 잃을 수 있다”며 “증거를 확보한 뒤 차단과 키 교체를 진행하는 순서가 중요하다”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network