GitHub에도 이미 EDR이 있다. 다만 듣지 않았을 뿐
GitHub가 제공하는 이벤트와 API 데이터를 활용하면 공급망 공격을 조기에 탐지할 수 있다는 연구 결과가 발표됐다. 연구팀은 GitHub Threat Detector라는 오픈소스 도구를 공개하며, 위조 커밋, 태그 중독, OIDC 탈취 등 반복되는 공격 패턴을 34개 규칙으로 탐지할 수 있다고 밝혔다.
최근 공급망 공격의 상당수는 GitHub가 이미 제공하는 텔레메트리를 면밀히 살펴봤다면 조기에 탐지할 수 있었다고 연구자들이 밝혔다. Black Hat USA 2026 발표에서 마이크로소프트의 Yossi Weizman과 Echo의 Mor Weinberger 연구원은 “GitHub는 해킹당하고 있다는 사실을 알려주고 있다. 다만 듣지 않았을 뿐”이라고 주장했다.
두 사람은 기존 엔드포인트나 네트워크 텔레메트리에만 의존하지 않고 GitHub 자체 이벤트 스트림을 활용한 EDR 스타일 탐지 방식을 설명했다. Shai-Hulud, Trivy, Megalodon 등 최근 공급망 공격을 분석한 결과, 서로 다른 사건임에도 위조된 커밋 신원, 독이 든 태그, 워크플로우 남용, OIDC 탈취, 증거 인멸 시도 등 동일한 기법이 반복적으로 사용된 것을 발견했다.
이들은 이러한 반복되는 기법을 행동 기반 탐지로 전환했으며, GitHub 웹훅, API 데이터, Git 저장소 검사를 결합해 활동의 역사적 관점을 구축했다. 새롭게 공개한 오픈소스 도구 ‘GitHub Threat Detector’에는 22개의 프로덕션 탐지 규칙과 12개의 베타 규칙이 포함되어 있으며, 개별적으로는 약한 신호를 상관 분석해 높은 신뢰도의 경고로 만드는 복합 탐지 기능을 갖췄다.
연구의 핵심 관찰은 공급망 공격이 대상 프로젝트와 무관하게 동일한 패턴을 반복한다는 점이다. 예를 들어 커밋 작성자 정보는 위조될 수 있지만, GitHub는 인증된 푸셔 정보를 별도로 기록한다. 커밋 작성자와 인증된 푸셔가 일치하지 않으면 조사할 가치가 있다는 설명이다.
또한 공격자들이 여러 피해자에 걸쳐 동일한 위조 신원을 재사용하는 경우가 발견됐으며, 같은 작성자 이메일을 GitHub에서 검색하면 겉으로는 무관해 보이는 사건들을 하나의 캠페인으로 연결할 수 있다. 연구팀은 “다른 저장소에서도 나타나는 저장소 내 위조 신원은 침해의 강력한 징후”라고 강조했다.
이와 같은 원리로 ‘대량 태그 중독’도 탐지할 수 있다. 이는 다수의 릴리스 태그를 악성 커밋으로 강제 이동시켜 @v1 같은 버전을 사용하는 워크플로우가 공격자 코드를 실행하게 만드는 기법이다. 연구자들은 GitHub API를 통해 태그 이력을 추적하고 이전·이후 커밋 참조를 비교할 것을 권고했다. OIDC 역시 중요한 탐지 신호로 활용할 수 있다.