CrowdSec, TanStack 백도어가 빼낸 API 키로 비공개 소스코드 유출 확인

사이트 태그라인 보면 누가 나를 공격하는지는 안다면서 정작 자기가 공격당한 건 놓쳤더라. 결국 보안 회사라기보다 나쁜 IP 모아놓은 곳 아니냐. 이런 데이터는 신뢰도 관리되는 비영리 재단이 맡는 게 맞음.

보안 회사 정의가 뭔데? 위협 인텔 회사도 보통 보안 회사로 침. 그리고 이런 걸 비영리로 세워서 헐값에 돌린다는 발상도 좀 웃긴 게, 그 적은 회비로 엔지니어랑 인프라 비용은 누가 대줌?

CrowdSec이 GitHub 트래픽을 분석할 일은 없으니 정보가 없었을 거임. 저장소를 직접 호스팅했으면 뭔가 잡혔을지도 모르지.

보안 회사가 해킹당함. 그리고 소스코드는 GitHub에 올려두고 있었음.

봇 스크래핑 막으려고 CrowdSec 붙였는데 구조는 멀쩡한데 오탐률이 감당이 안 됐음. 몇 달 준비해서 이틀 만에 껐음. IP 평판 방식이면 다 이런 듯.

IP 평판만 쓴 거임 WAF도 같이 올렸음? 봇 스크래핑이면 최근 나온 봇 탐지 기능 써볼 만함.

난 허니팟 직접 만들어서 오탐 줄임. RDP랑 SSH 열어둔 VM 하나 공인 IP에 두고 로그인 시도하는 IP는 방화벽에서 며칠 차단함. 잘 됨.

뭘 붙였는지 모르겠는데 블랙리스트 여러 개를 주고 룰셋도 골라서 튜닝하는 구조임. LLM이 튜닝에 꽤 도움되고, 무료 버전을 간단한 WAF로 여러 서버에 쓰는데 봇을 많이 막아줌. 더 나은 오픈소스 있음?

자격증명을 털려서 코드를 긁어간 거면 Git 접근에 Ubikey랑 SSL 인증서를 묶었으면 유출 자체가 막혔을 텐데.

Debian 13 VPS에서 CrowdSec 고치다가 이 소식 봤음. Debian 패키지 버전을 쓴다는 이유로 커뮤니티 블록리스트를 안 내려줌(HTTP 500). 그래서 공개된 소스로 LLM 시켜서 블록리스트 직접 만들었음.

그건 좀 심한데. Debian 저장소에 들어가 있으면 해당 버전 범위 안에서는 제대로 돌아가야 하는 거 아님? 벤더 사정만 앞세우는 걸 보고 안 쓰기로 함.

보안 한다는 회사가 자기네 하는 말을 안 지킴. PII는 안 샜다지만 내부 운영이 엉망이라는 뜻이라 레드 플래그임. 결국 벤더 하나 더 목록에 올라간 셈.

CrowdShite.com 등록하려고 했는데 누가 먼저 채갔더라.

CrowdStrike랑 헷갈리면 안 됨. 그쪽은 진지한 보안 회사임.

API 키를 교체했다고 추가 사고를 막을 수 있나? 다음 PyPI나 npm 공급망 사고가 나면 새 키를 또 털릴 텐데. 그 키 용도를 다시 검토하고 권한을 줄여야 하는 거 아님? GitHub API 키에 요청 출발지 제한 같은 건 되나?

그 비공개 코드가 값어치가 있는지는 Fable한테 물어보면 알려줄 듯.