01찾기
어디서, 어떻게 샜는지 한눈에.
유효한 시크릿을 발견 위치와 노출 기간별로 묶어 보여 줍니다. 코드 밖에서 발견된 키, 여러 도구에 남은 키, 파일을 지워도 유효한 키, 공개 위치의 키를 살펴보세요.
- 1,000개 이상의 탐지 규칙
- GitHub부터 Slack·Google Drive까지 10가지 소스 유형
- 지원 유형은 발급처에 직접 물어 유효성까지 확인
유출된 API 키,공격자보다 먼저 찾으세요.
Cremit은 연결한 코드 저장소, 클라우드 스토리지, 협업 도구에서 노출된 키와 토큰을 찾습니다. 지원 유형은 발급처에서 유효성을 검증하고, 소유자 정보를 함께 보여 줍니다.
매월 2GB 무료 · 카드 등록 없이 바로 시작
최근 보안 사고, 시크릿으로 다시 읽기
공개된 사고를 분석해 어떤 키와 토큰이 얽혀 있었는지, 무엇부터 교체해야 하는지 정리합니다.
직접 조사한 숫자로 말합니다
모든 수치는 Cremit 리서치에서 나왔고, 원문 연구와 측정 방법을 함께 공개합니다.
시크릿 발견부터 담당자 배정까지.
실제 제품 화면에 샘플 조직 데이터를 담았습니다. 스크롤하며 단계별로 살펴보세요.
02추적
키가 발견된 위치를 따라가세요.
발견 위치, 변경 이력, 소유자 정보를 그래프에서 함께 확인합니다. 사본이 있는 위치를 조사하고, 노출된 키는 발급처에서 신속히 차단하세요.
- 발견 위치와 작성자 후보
- 시크릿 매니저와 대조
- 소유자 지정과 변경 이력
03범위
이 키로 무엇까지 할 수 있을까.
AWS·GCP 분석기를 연결하면 지원하는 키의 권한 정보를 검토할 수 있습니다. 분석 결과와 노출 위치, 유효성을 함께 보고 우선순위를 정하세요.
- AWS: 정책, 역할 경로, 권한 상승 경로, 연쇄 시크릿
- AWS 경로를 차단할 지점 확인
- GCP: API 키 제한과 서비스 계정 역할
04대응
알림에서 담당자 배정과 조치까지.
발견 항목에서 바로 인시던트를 열고 담당자를 지정해 해결까지 추적합니다. 알림은 Slack, 웹훅, Telegram, 이메일 중 편한 곳으로 받으세요.
- 담당자가 보이는 칸반·목록 보기
- 대시보드의 탐지·해결 소요 시간
- 지원 유형의 유효한 키는 약 6시간마다 자동 재확인
05볼트
새 시크릿은 보관하고, 쓰던 볼트는 점검하고.
시크릿 값은 프로젝트와 환경별로 Cremit Vault에 보관하세요. AWS Secrets Manager, Parameter Store, HashiCorp Vault를 읽기 전용으로 연결하면 보관 중인 시크릿의 경로와 현재 버전은 물론, 같은 값이 코드에도 남아 있는지까지 확인할 수 있습니다.
- 패스키 승인으로 여는 Cremit Vault
- 볼트에만 있는 키와 함께 노출된 키 구분
- 볼트 키와 노출 키를 한 인벤토리에서
06공유
사람과 팀별로 공유 권한을 정하세요.
시크릿 기록을 사람이나 팀에 공유하고 보기·관리 권한을 정하세요. Cremit Vault 값의 접근 권한을 부여하거나, 승인자·만료일을 정하고 조직 구성원에게 일회용 링크를 보낼 수 있습니다.
- 사람·팀 단위 공유
- 공유마다 승인자와 만료일 지정
- 공유와 링크 열람을 감사 로그에 기록
이 페이지의 모든 화면은 실제 출시된 제품에 샘플 데이터를 넣은 것입니다.
직접 체험해 보기Orders export access
AKIA••••••••K7Q2
보관됨
시크릿 매니저에 보관
키를 막는 건 알림이 아니라, 결국 사람입니다.
Cremit은 조치할 사람에게 근거를 건넵니다. AWS Secrets Manager에 보관한 AWS IAM 사용자 키라면 새 키 발급과 보관, 기존 키 비활성화·삭제까지 진행하고, 단계마다 조직 소유자나 관리자가 승인합니다. 그 밖의 키는 로테이션 방법을 안내하고, 조치가 끝나면 지원 유형의 키를 다시 확인해 기존 키가 정말 막혔는지 보여 줍니다.
탐지
10가지 소스 유형, 1,000개 이상의 규칙
확인
지원하는 키는 발급처에 직접 물어 유효한 키를 가려냅니다.
범위
지원하는 AWS·GCP 키의 권한 정보를 분석합니다.
지정
작성자와 매칭된 디렉터리 계정에서 소유자 후보를 확인합니다.
재확인
지원 유형의 유효한 키는 약 6시간마다 다시 확인합니다.
발견·보관·공유, 같은 관리 체계 안에서.
노출된 시크릿을 찾고 지원 유형의 유효성을 확인합니다. 시크릿은 Cremit Vault에 보관하고 사람·팀에 공유할 수 있습니다. CLI는 승인된 값을 프로세스에 주입하며, AI 에이전트는 MCP로 탐지 결과를 읽고 접근을 요청합니다.
01 / 발견
발견하고 대응하기
연결한 코드·클라우드 스토리지·협업 도구에서 노출된 시크릿을 찾습니다. 지원 유형은 발급처에서 유효성을 확인하고, AWS·GCP 키의 영향 범위를 보여 주며, 조치 과정은 조치 케이스로 추적합니다.
인벤토리 · 유효성 확인 · 영향 범위 · 조치 케이스
실제 대응 과정 보기02 / 보관
Cremit Vault
시크릿 값은 프로젝트·환경별로 AES-256-GCM 암호화하고 암호화 키는 AWS KMS로 보호합니다. 값을 보려면 접근 요청과 패스키 승인이 필요합니다. 기존 AWS Secrets Manager, Parameter Store, HashiCorp Vault는 읽기 전용으로 연결합니다.
Cremit Vault · 패스키 승인 · 연결된 볼트
보관과 연결된 볼트 보기03 / 공유
팀 공유
시크릿을 특정 사람이나 팀에 공유합니다. 기록은 보기·관리 권한으로, 값은 Cremit Vault 접근 권한으로 나눠 주고, 공유마다 승인자와 만료일을 정할 수 있습니다. 일회용 링크는 조직 구성원에게만 보내며, 공유와 링크 열람은 감사 로그에 남습니다.
사람·팀 · 승인 · 만료 · 일회용 링크
팀 공유 살펴보기04 / 사용
CLI·에이전트 접근
Cremit CLI는 로컬·CI 스캔 결과를 인벤토리에 올리고, 승인된 Vault 값을 프로세스에 주입합니다. AI 에이전트는 MCP로 탐지 결과와 시크릿 메타데이터를 읽고 접근을 요청할 수 있습니다. MCP 도구에는 시크릿 값 반환 기능이 없습니다.
Cremit CLI · MCP 서버 · 접근 요청
CLI·에이전트 접근 설정하기
이미 Cremit과 함께하는 보안팀
먼저 찾아낸 팀들의 이야기
소스를 연결하고 무엇이 달라졌는지, 고객이 직접 들려 드립니다.
넥스트증권 (Next Securities)슬랙 안에서 끝나는 자격증명 점검
“기존 솔루션 업체들과는 메일이나 전화로 소통해야 했는데, 크리밋은 Slack Connect를 통해 빠르게 문의하고 요청할 수 있어서 정말 좋았습니다. 요청사항이 15분 만에 반영되었던 점도 매우 인상적이었습니다.”
라포랩스보안 담당자 한 명, 연결한 도구 세 개
“성장하는 커머스 회사의 1인 보안 담당자로서 모든 플랫폼의 크리덴셜 관리를 따라잡을 수 없었습니다. Cremit은 추가 인력 요청 없이도 제 업무를 효과적으로 수행할 수 있는 가시성과 자동화를 제공해주었습니다.”
에잇퍼센트다섯 개 도구를 하루 만에 한 번에
“Cremit 도입 전에는 크리덴셜이 어디에 얼마나 노출되어 있는지 알 방법이 전혀 없었습니다. 도입 하루 만에 전체 환경에 대한 완벽한 가시성을 확보했고, 모든 알림이 실제 위협이었습니다. 오탐은 단 한 건도 없었습니다.”
엔라이튼발전소 28,800곳, 그리고 그 열쇠들
“ISMS 인증을 준비하면서 Cremit 덕분에 노출된 줄도 몰랐던 Google Cloud 서비스 키들을 발견할 수 있었습니다. 이 크리덴셜들을 보안 조치함으로써 리스크를 줄였을 뿐 아니라 심사에 필요한 문서화된 증거도 확보할 수 있었습니다.”
SBSi생방송을 떠받치는 클라우드
“미디어 인프라가 클라우드로 이동하면서 크리덴셜 관리는 기하급수적으로 복잡해집니다. Cremit은 GitLab 환경을 보안하고 매일 수백만 시청자에게 서비스하는 클라우드 인프라를 보호하는 데 필요한 가시성을 제공했습니다.”
Ordercheck창업자가 직접 돌리는 보안
“여러 역할을 동시에 수행하는 스타트업 CEO로서 노출된 크리덴셜을 수동으로 확인할 시간이 없었습니다. Cremit은 위험에 노출된 줄도 몰랐던 AWS 키를 찾아냈고, 문제가 발생하기 전에 보안 조치할 수 있었습니다.”
최신 리서치
유출된 API 키는 어디로 가는가
공개 판매 사이트 두 곳을 직접 확인하고 해킹 포럼 광고와 Railway·OpenCode 사고 자료를 대조했습니다. 자격증명 재판매 구조와 실제 악용, Cremit으로 연결하는 탐지·검증·공유·키 교체의 대응을 설명합니다.
20분읽기
PingCAP 침해는 고객이 지원 티켓에 남긴 AWS 키까지 닿았습니다
TiDB를 만드는 PingCAP의 내부 시스템에 9월 9일부터 10월 7일까지 무단 접근이 있었습니다. 공격자는 탈취한 GitHub 계정으로 코드 속 클라우드 키와 Jira 토큰을 찾았습니다. 이어 지원 티켓에서 고객이 공유한 AWS 키로 고객 진단 데이터가 든 S3 버킷까지 들어갔습니다. 확인된 사실과 공격자 주장을 나눠 사용자가 할 일과 다른 팀이 점검할 것을 정리했습니다.
8분읽기
LiteLLM 1.107.0 공급망 공격은 5월에 지운 키에서 시작됐습니다
10월 21일 LiteLLM 정식 릴리스 파이프라인이 자격증명 탈취 코드가 든 1.107.0을 PyPI와 Docker에 배포했습니다. 시작점은 5월 27일 공개 레포에 커밋됐다가 세 시간 뒤 지워졌지만 폐기되지 않은 관리자 키였습니다. 공격 경로와 악성 버전이 가져간 것, 사용자가 할 일, 다른 팀이 점검할 것을 정리했습니다.
13분읽기
신규 리서치 · 2026년 9월 · 무료 PDF · 한국어/영어 · 가입 없음
Blast Radius: 유출된 API 키 대응 플레이북
키가 노출된 위치와 확보 가능한 로그를 기록하면서 신속히 차단하세요. AWS·GCP·Azure 대응 6단계와 AWS 유출 키 격리 정책의 버전별 비교를 담았습니다.
키가 남는 저장소와 도구를 연결하세요.
지금 바로 연결할 수 있는 스캔 소스, 알림 채널, 계정 연동, 클라우드 권한 분석입니다.
스캔 소스
GitHub
GitLab
Bitbucket- GitHub Packages
- AWS S3
Google Drive
Jira
Confluence
Notion
Slack
알림
- Slack
- 웹훅
Telegram- 이메일
계정 연동
Okta SCIM
Google Workspace- SAML 2.0 / OIDC
클라우드 권한
- AWS
Google Cloud
공개 자산에 노출된 키도 확인하세요.
도메인이나 GitHub 조직을 등록해 관련 공개 자산과 발견 근거를 확인하세요. 지원 자산을 모니터링하고, 설정한 범위에서 공개 콘텐츠의 시크릿을 검사합니다. Enterprise 플랜에서 제공합니다.
외부 노출 스캐닝고객의 키, ISO/IEC 27001 기준으로 지킵니다.
Cremit은 ISO/IEC 27001 인증을 보유하고 있습니다. 탐지한 시크릿 값의 암호화, 소스 파일 처리 방식, 연동별 권한을 확인하세요.
ISO/IEC 27001정보보호 경영시스템 인증
저장 시 암호화
탐지한 시크릿 값은 AWS KMS로 암호화합니다. 고객 관리형 키도 쓸 수 있습니다.
소스는 고객의 것
소스 내용은 스캔 중에 읽으며 원본 파일 전체를 보관하지 않습니다.
필요한 권한만
연동마다 스캔에 꼭 필요한 권한만 요청하고, 그 범위를 설정 가이드에 공개합니다. AWS 키 로테이션에 쓰는 쓰기 역할은 Cremit에 로테이션을 맡길 때만 따로 추가합니다.
고객 감사에 쓸 수 있는 근거
- ISMS-P
- ISO/IEC 27001 (Cremit 인증 보유)
- PCI DSS
- NIST CSF
- DORA
Cremit은 ISO/IEC 27001 인증을 보유하고 있습니다.
노출된 키 중 아직 유효한 키는 무엇인가요?
도입을 검토하고 계신다면
보안 엔지니어가 우리 환경에 맞춰 직접 보여 줍니다.
데모 신청하기먼저 직접 써 보고 싶다면
무료 플랜으로 바로 소스를 연결하세요. 매월 2GB, 카드 등록 없이.
무료로 시작하기아직 둘러보는 중이라면
샘플 데이터로 실제 제품을 눌러 보세요. 가입하지 않아도 됩니다.
제품 투어 둘러보기
월 2GB부터, 카드 등록 없이.
무료 플랜으로 우리 환경의 탐지 결과를 확인하세요. 도입 전에 월 요금과 포함 스캔량도 비교할 수 있습니다.
찾은 키를 모두 자동 검증하나요?
Cremit은 지원하는 시크릿 유형만 발급 서비스에서 자동으로 유효성을 확인합니다. 나머지는 직접 확인 필요로 남습니다. 검증 성공은 그 시각에 인증할 수 있었다는 뜻이며, 악용됐다는 증거는 아닙니다.
어디에서 키를 찾나요?
Cremit은 연결한 GitHub·GitLab·Bitbucket·GitHub Packages·AWS S3·Google Drive·Jira·Confluence·Notion·Slack에서 시크릿을 찾습니다. Cremit CLI로 로컬·Git 이력·CI 변경분을 스캔해 결과를 업로드할 수 있습니다. 외부 노출 스캐닝은 설정한 범위의 공개 콘텐츠를 검사합니다.
유효한 키의 접근 범위도 알 수 있나요?
Cremit은 분석기를 연결하면 지원하는 AWS·GCP 키의 권한 정보를 보여 줍니다. AWS 액세스 키는 IAM 정책, 역할 경로, 정책에서 찾은 권한 상승 경로, 연쇄 시크릿과 경로를 차단할 지점을 확인합니다. GCP 키는 API 키 제한과 서비스 계정 키의 프로젝트 역할·계정 사칭 권한을 확인합니다. 실제 사용 여부는 발급처 로그에서 조사해야 합니다.
유출된 키는 누가 교체하거나 폐기하나요?
Cremit은 AWS Secrets Manager에 보관한 AWS IAM 사용자 키만 단계별 승인을 받아 교체하며, 다른 키는 소유자가 발급처에서 교체합니다. AWS 키 교체에는 별도 쓰기 역할과 조직 소유자 또는 관리자의 승인이 필요합니다. 다른 키는 안내 절차와 조치 케이스로 추적하고, 기존 키의 폐기됨 결과와 볼트의 새 버전이 확인되면 종결합니다.
소스 코드를 저장합니까?
Cremit은 스캔 중 소스 내용을 읽지만 원본 파일 전체를 보관하지는 않습니다. 발견 위치·상태 같은 정보와 재검증에 필요한 시크릿 값을 암호화해 저장합니다. 탐지한 시크릿 값에는 고객 관리형 KMS 키를 설정할 수 있습니다.
영업 상담 없이 시작할 수 있나요?
Cremit은 영업 상담이나 카드 등록 없이 무료 플랜으로 시작할 수 있습니다. argus.cremit.io에서 지원 소스를 연결해 발견 결과를 확인하세요.
탐지 규칙에 걸리면 그 키가 작동한다는 뜻인가요?
Cremit의 탐지 규칙에 맞는 값이어도 실제로 작동하는 키라는 뜻은 아닙니다. 지원 유형은 발급처에서 유효성을 확인하고, 나머지는 직접 확인 필요로 남습니다.
유효한 키는 얼마나 자주 다시 확인하나요?
Cremit은 지원 유형 중 유효함으로 확인된 키를 약 6시간마다 재검증합니다. 검증을 지원하지 않는 유형은 자동으로 재확인하지 않습니다.
이 페이지의 제품 화면은 실제인가요?
이 페이지는 실제 Cremit 제품 화면에 가상 조직의 샘플 데이터를 넣어 보여 줍니다. 개수, 상태, 소유자 지정은 예시이며 고객의 실제 결과가 아닙니다.
외부 노출 스캐닝은 무엇을 확인하나요?
Cremit 외부 노출 스캐닝은 등록한 자산과 관련된 공개 자산을 찾고 지원 대상을 모니터링합니다. 도메인이나 GitHub 조직에서 시작할 수 있습니다. 본문 시크릿 검사는 별도 설정과 범위 제한을 따릅니다.
비인간 ID(NHI) 보안이란 무엇인가요?
비인간 ID(NHI) 보안은 서비스 계정이나 워크로드 같은 소프트웨어 주체의 접근 권한을 관리하는 일입니다. 이들은 키·토큰·인증서·위임받은 권한으로 인증합니다. 누가 관리하는지, 어디에 접근하는지, 접근을 어떻게 끝낼지 확인해야 합니다.
비인간 신원(NHI)의 유형과 보안 관리 방법Cremit은 무엇입니까?
Cremit은 시크릿을 찾고 관리하는 NHI 보안 플랫폼입니다. 연결한 저장소·클라우드 스토리지·협업 도구에서 노출된 시크릿을 찾고 지원 유형의 유효성을 검증합니다. AWS·GCP 키는 확인 가능한 영향 범위를 보여 줍니다. 발견 위치와 소유자 정보를 검토하고, 시크릿 값은 Cremit Vault에 보관해 사람·팀에 공유할 수 있습니다.
월간 NHI 리서치 브리프
NHI 공격 사례, 통제 방법, 현장 리서치를 월 1회 정리합니다.