초기 24시간의 딜레마... 크리밋, 국내 규제 맞춤형 크리덴셜 사고 대응 가이드 배포

크리밋(Cremit)이 API 키와 클라우드 크리덴셜 유출 사고 시 대응 절차를 담은 실무 플레이북 ‘Blast Radius’를 한국어와 영어로 배포한다고 4일 밝혔다. 최근 발생한 대형 침해사고의 대부분은 데이터베이스 직접 해킹이 아닌, 소스 저장소나 배포 파이프라인에 방치된 접근 키 유출에서 시작됐다. 이번 보고서는 유출된 키 1개가 지닌 권한이 아마존웹서비스(AWS)나 구글클라우드플랫폼(GCP), 마이크로소프트 애저(Azure) 등 주요 3대 클라우드 인프라와 배후의 시크릿 저장소에 미치는 전체 영향 범위(Blast Radius)를 증거 기반으로 입증하는 6단계(식별, 노출 범위, 영향 범위, 사용 조사, 차단 및 로테이션, 사고 종료) 절차를 다뤘다.