01찾기
어디서, 어떻게 샜는지 한눈에.
살아 있는 시크릿을 노출 유형별로 묶어 보여 드립니다. 코드 밖에서 샌 키, 오래 방치된 키, 여러 도구로 퍼진 키, 지웠는데 아직 작동하는 키, 공개된 곳에 올라간 키까지 따로 정리됩니다.
- 1,000개 이상의 탐지 규칙
- GitHub부터 Slack·Google Drive까지 10가지 소스 유형
- 지원 유형은 발급처에 직접 물어 유효성까지 확인
최근 보안 사고, 자격증명으로 다시 읽기
공개된 사고를 분석해 어떤 키와 토큰이 얽혀 있었는지, 무엇부터 교체해야 하는지 정리합니다.
직접 조사한 숫자로 말합니다
모든 수치는 Cremit 리서치에서 나왔고, 원문 연구와 측정 방법을 함께 공개합니다.
찾는 순간부터 담당자 손에 닿을 때까지.
실제 제품 화면에 샘플 조직 데이터를 담았습니다. 스크롤하며 단계별로 살펴보세요.
02추적
복사된 키, 끝까지 따라갑니다.
발견 위치, 변경 이력, 담당자 단서를 그래프 하나로 이어 보여 드립니다. 키를 폐기하기 전에 어디까지 퍼졌는지부터 확인하세요.
- 발견 위치와 작성자 후보
- 시크릿 매니저와 대조
- 담당자 지정과 변경 이력
03범위
이 키로 무엇까지 할 수 있을까.
AWS·GCP 분석기를 한 번만 연결하면, 탐지 결과 옆에 그 키의 권한 분석이 바로 붙습니다. 가장 위험한 키부터 먼저 처리하세요.
- 최소 권한 IAM 역할로 AWS 권한 분석
- GCP API 키 제한 확인
- 탐지 결과 옆에 권한 검토 표시
04대응
알림은 쌓아 두지 않고, 담당자에게 바로.
발견 항목에서 바로 인시던트를 열고 담당자를 지정해 해결까지 추적합니다. 알림은 Slack, 웹훅, Telegram, 이메일 중 편한 곳으로 받으세요.
- 담당자가 보이는 칸반·목록 보기
- 대시보드의 탐지·해결 소요 시간
- 살아 있는 키는 약 6시간마다 자동 재확인
05볼트
시크릿 매니저 안의 키도 함께 점검.
시크릿 매니저를 연결하면 보관 중인 시크릿의 경로와 현재 버전은 물론, 같은 값이 코드에도 남아 있는지까지 확인할 수 있습니다.
- 볼트에만 있는 키와 함께 노출된 키 구분
- 공급자 경로와 현재 버전
- 볼트 키와 노출 키를 한 인벤토리에서
06공유출시 예정
필요한 사람에게, 필요한 만큼만.
팀 공유 기능이 곧 출시됩니다. API 키와 토큰을 정해진 범위 안에서만 나누고, 누가 접근하고 언제 썼는지를 지금 쓰는 인벤토리와 담당자 정보 위에서 관리하세요.
- 팀별 접근 범위
- 접근 권한과 사용 이력
- 같은 인벤토리와 담당자 기반
출시 예정
출시되면 이 자리에 실제 화면이 들어갑니다. 먼저 써 보고 싶다면 데모 신청 때 말씀해 주세요.
이 페이지의 모든 화면은 실제 출시된 제품에 샘플 데이터를 넣은 것입니다.
직접 체험해 보기Orders export access
AKIA••••••••K7Q2
보관됨
시크릿 매니저에 보관
키를 막는 건 알림이 아니라, 결국 사람입니다.
Cremit은 담당자가 바로 조치할 수 있는 근거를 건네고, 조치가 끝나면 키를 다시 확인해 정말 막혔는지 보여 드립니다.
탐지
10가지 소스 유형, 1,000개 이상의 규칙
확인
지원하는 키는 발급처에 직접 물어 살아 있는 키를 가려냅니다.
범위
AWS·GCP 키가 어디까지 닿는지 분석합니다.
담당
작성자 후보와 디렉터리 계정으로 담당자를 찾아냅니다.
재확인
살아 있는 키는 약 6시간마다 다시 확인합니다.
발견·보관·공유, 같은 관리 체계 안에서.
코드에서 발견한 키가 팀에서 사용되기까지. Cremit의 제품 구성은 API 자격증명의 전체 관리 흐름을 중심으로 설계되어 있습니다. 도입 상담에서 팀에 맞는 구성을 함께 확인하세요.
01 / 발견
발견하고 대응하기
연결한 코드·클라우드 스토리지·협업 도구에서 노출된 자격증명을 찾습니다. 지원 유형의 유효성을 확인하고 담당자 조치를 추적합니다.
자격증명 인벤토리 · 노출 탐지 · 유효성 확인 · 대응 추적
실제 대응 과정 보기02 / 보관
Cremit Vault
발견한 자격증명이 관리되는 자격증명으로 이어지는 구조. 자체 Vault와 기존 볼트 연동을 중심으로 API 키·토큰의 보관 체계를 설계합니다.
자체 보관 · 기존 볼트 연동 · 자격증명 이관
Vault 구성 확인하기03 / 공유
팀 자격증명 허브
API 키와 토큰을 필요한 사람에게, 필요한 범위로. 팀 공유와 접근 권한, 사용 이력을 하나의 관리 체계로 연결하는 공간입니다.
팀 공유 · 접근 권한 · 사용 이력
팀 공유 구성 살펴보기04 / 사용
개발 도구와 에이전트로 연결
개발자가 일하는 도구와 AI 에이전트까지 이어지는 접근 구조. CLI·데스크톱·에이전트에서도 같은 기준으로 자격증명을 다루는 것이 제품 설계의 방향입니다.
CLI · 데스크톱 · 에이전트 접근
연결할 도구 상담하기
이미 Cremit과 함께하는 보안팀
먼저 찾아낸 팀들의 이야기
소스를 연결하고 무엇이 달라졌는지, 고객이 직접 들려 드립니다.
넥스트증권 (Next Securities)슬랙 안에서 끝나는 자격증명 점검
“기존 솔루션 업체들과는 메일이나 전화로 소통해야 했는데, 크리밋은 Slack Connect를 통해 빠르게 문의하고 요청할 수 있어서 정말 좋았습니다. 요청사항이 15분 만에 반영되었던 점도 매우 인상적이었습니다.”
라포랩스보안 담당자 한 명, 연결한 도구 세 개
“성장하는 커머스 회사의 1인 보안 담당자로서 모든 플랫폼의 크리덴셜 관리를 따라잡을 수 없었습니다. Cremit은 추가 인력 요청 없이도 제 업무를 효과적으로 수행할 수 있는 가시성과 자동화를 제공해주었습니다.”
에잇퍼센트다섯 개 도구를 하루 만에 한 번에
“Cremit 도입 전에는 크리덴셜이 어디에 얼마나 노출되어 있는지 알 방법이 전혀 없었습니다. 도입 하루 만에 전체 환경에 대한 완벽한 가시성을 확보했고, 모든 알림이 실제 위협이었습니다. 오탐은 단 한 건도 없었습니다.”
엔라이튼발전소 28,800곳, 그리고 그 열쇠들
“ISMS 인증을 준비하면서 Cremit 덕분에 노출된 줄도 몰랐던 Google Cloud 서비스 키들을 발견할 수 있었습니다. 이 크리덴셜들을 보안 조치함으로써 리스크를 줄였을 뿐 아니라 심사에 필요한 문서화된 증거도 확보할 수 있었습니다.”
SBSi생방송을 떠받치는 클라우드
“미디어 인프라가 클라우드로 이동하면서 크리덴셜 관리는 기하급수적으로 복잡해집니다. Cremit은 GitLab 환경을 보안하고 매일 수백만 시청자에게 서비스하는 클라우드 인프라를 보호하는 데 필요한 가시성을 제공했습니다.”
Ordercheck창업자가 직접 돌리는 보안
“여러 역할을 동시에 수행하는 스타트업 CEO로서 노출된 크리덴셜을 수동으로 확인할 시간이 없었습니다. Cremit은 위험에 노출된 줄도 몰랐던 AWS 키를 찾아냈고, 문제가 발생하기 전에 보안 조치할 수 있었습니다.”
최신 리서치
GhostAction 사고 분석: 악성 워크플로가 Git 이력의 키를 수집하는 방식
공개 워크플로 100개의 네 버전과 우버 저장소의 변경 기록을 대조했습니다. Git 이력에서 삭제된 키를 수집하는 경로, 전송 실패를 정상 종료로 처리하는 동작, 자격증명의 권한에 따른 대응 순서를 설명합니다.
12분읽기
탐지 건수와 살아 있는 키 수를 따로 세는 법
발견 위치, 고유 자격증명, 마지막 유효성 상태는 다른 숫자입니다. 범위와 확인 시각을 정한 뒤 보고하는 방법을 설명합니다.
5분읽기
노출된 자격증명에서 조치까지: Cremit Platform의 실제 지원 범위
Cremit Platform이 노출된 자격증명을 찾고 지원 유형을 검증해 담당자 조치로 연결하는 방법과 범위.
4분읽기
신규 리서치 · 2026년 9월 · 무료 PDF · 한국어/영어 · 가입 없음
Blast Radius: 유출된 API 키 대응 플레이북
키가 노출된 위치와 확보 가능한 로그를 기록하면서 신속히 차단하세요. AWS·GCP·Azure 대응 6단계와 AWS 유출 키 격리 정책의 버전별 비교를 담았습니다.
키가 새는 곳마다 연결됩니다.
지금 바로 연결할 수 있는 스캔 소스, 알림 채널, 계정 연동, 클라우드 권한 분석입니다.
스캔 소스
GitHub
GitLab
Bitbucket- GitHub Packages
- AWS S3
Google Drive
Jira
Confluence
Notion
Slack
알림
- Slack
- 웹훅
Telegram- 이메일
계정 연동
Okta SCIM
Google Workspace- SAML 2.0 / OIDC
클라우드 권한
- AWS
Google Cloud
회사 밖으로 샌 키도 놓치지 않습니다.
도메인이나 GitHub 조직만 등록하면 관련 공개 자산을 근거와 함께 찾아 제안하고, 그곳에 노출된 키를 계속 모니터링합니다.
외부 노출 스캐닝고객의 키, ISO/IEC 27001 기준으로 지킵니다.
Cremit이 다루는 건 고객이 가진 가장 민감한 정보입니다. 그래서 ISO/IEC 27001 인증을 받은 정보보호 체계 안에서만 다룹니다.
ISO/IEC 27001정보보호 경영시스템 인증
저장 시 암호화
탐지한 자격증명 값은 AWS KMS로 암호화합니다. 고객 관리형 키도 쓸 수 있습니다.
소스는 고객의 것
소스 내용은 스캔하는 동안에만 읽습니다.
필요한 권한만
연동마다 스캔에 꼭 필요한 권한만 요청하고, 그 범위를 설정 가이드에 공개합니다.
고객 감사에 쓸 수 있는 근거
- ISMS-P
- ISO/IEC 27001 (Cremit 인증 보유)
- SOC 2
- PCI DSS
- NIST CSF
- DORA
Cremit은 ISO/IEC 27001 인증을 보유하고 있습니다.
유출된 키, 아직 몇 개나 살아 있을까요?
도입을 검토하고 계신다면
보안 엔지니어가 우리 환경에 맞춰 직접 보여 드립니다.
데모 신청하기먼저 직접 써 보고 싶다면
무료 플랜으로 바로 소스를 연결하세요. 매월 2GB, 카드 등록 없이.
무료로 시작하기아직 둘러보는 중이라면
샘플 데이터로 실제 제품을 눌러 보세요. 가입하지 않아도 됩니다.
제품 투어 둘러보기
월 2GB부터, 카드 등록 없이.
무료 플랜으로 우리 환경의 탐지 결과를 확인하세요. 도입 전에 월 요금과 포함 스캔량도 비교할 수 있습니다.
찾은 키를 모두 자동 검증하나요?
아닙니다. 지원하는 자격증명 유형만 발급 서비스에서 유효성을 확인합니다. 나머지는 직접 검토해야 합니다. 검증에 성공했다는 결과는 그 시각에 키로 인증할 수 있었다는 뜻이지, 누군가 악용했다는 증거는 아닙니다.
어디에서 키를 찾나요?
연결한 GitHub·GitLab·Bitbucket 저장소, GHCR 이미지, AWS S3, Google Drive, Jira, Confluence, Notion, Slack 등을 스캔합니다. 외부 스캔을 설정하면 범위가 정해진 공개 콘텐츠도 확인할 수 있습니다. 로컬 파일이나 연결하지 않은 서비스까지 검사하지는 않습니다.
살아 있는 키의 접근 범위도 알 수 있나요?
지원하는 AWS 액세스 키와 GCP API 키는 접근 정보를 보여줄 수 있습니다. 분석할 수 있는 범위는 키와 연동 상태에 따라 다릅니다. 유효성 결과만으로 모든 권한이나 실제 사용 사실을 알 수는 없으므로 발급처 기록과 활동 로그를 함께 확인해야 합니다.
유출된 키는 누가 교체하거나 폐기하나요?
해당 서비스를 맡은 사람이 발급처에서 조치합니다. Cremit은 발견 위치, 확인 가능한 유효성 결과, 조치 상태를 기록합니다. 지정된 담당자·추천 후보·소스 파일 작성자는 서로 다른 정보이므로 누가 조치할지 팀이 확인해야 합니다. Cremit이 키를 자동 교체하거나 폐기하지는 않습니다.
소스 코드를 저장합니까?
스캔 중 소스 내용을 읽지만 파일 전체를 보관하지는 않습니다. 발견 결과의 위치·상태 같은 정보와 재검증에 필요한 자격증명 값은 AWS KMS로 암호화해 저장합니다. 고객 관리형 KMS 키도 설정할 수 있습니다.
영업 상담 없이 시작할 수 있나요?
네. argus.cremit.io에서 카드 등록 없이 무료 플랜을 시작할 수 있습니다. 지원하는 소스를 연결해 발견 결과를 확인한 뒤 유료 플랜을 선택하면 됩니다.
탐지 규칙에 걸리면 그 키가 작동한다는 뜻인가요?
아닙니다. 탐지 결과만으로 키가 작동한다고 판단할 수는 없습니다. 지원하는 자격증명 유형은 발급처에서 유효성을 확인하고, 나머지는 직접 검토할 항목으로 남습니다.
유효한 키는 얼마나 자주 다시 확인하나요?
검증을 지원하는 유형에서 사용 가능하다고 확인된 키는 약 6시간마다 다시 확인합니다. 검증기가 없는 유형은 자동으로 재확인하지 않습니다.
이 페이지의 제품 화면은 실제인가요?
화면은 실제 Cremit 제품입니다. 데이터는 가상 샘플 조직의 것이므로 개수, 상태, 담당자 지정은 예시 값이며 고객 결과가 아닙니다.
외부 노출 스캐닝은 무엇을 확인하나요?
등록한 도메인이나 GitHub 조직과 관련된 공개 자산을 근거와 함께 제안합니다. 본문 시크릿 검사는 별도 설정과 범위 제한을 따르므로, 각 결과에서 실제 검사 범위를 확인하세요.
비인간 신원(NHI) 보안이란 무엇입니까?
비인간 신원은 서비스 계정이나 워크로드처럼 소프트웨어가 다른 시스템에 접근할 때 쓰는 주체입니다. 키·토큰·인증서·위임받은 권한으로 인증할 수 있습니다. 누가 관리하고 어디에 접근할 수 있는지, 접근을 어떻게 끝낼지 확인하는 것이 NHI 보안입니다. 자격증명이 허용되지 않은 곳에서 발견됐다면 조사할 근거가 됩니다.
비인간 신원(NHI)의 유형과 보안 관리 방법Cremit은 무엇입니까?
Cremit Platform은 연결한 저장소·클라우드 스토리지·협업 도구에서 노출된 자격증명을 찾습니다. 지원하는 유형은 현재 유효성을 확인하고, 지원하는 AWS 액세스 키와 GCP API 키는 확인 가능한 접근 정보도 보여 줍니다. 발견 위치와 담당자 단서를 함께 남겨 누가 발급처에서 조치할지 확인할 수 있게 합니다.
월간 NHI 리서치 브리프
보안 엔지니어와 CISO가 읽는 월간 브리프입니다. NHI 공격 사례, 통제 방법, 현장 리서치를 담습니다.