핀테크 자격증명 조사
결제 키가 저장소에서 발견됐습니다. 무엇부터 확인할까요?
문자열 하나가 발견됐다고 사고의 전모를 알 수는 없습니다. Cremit에서 발견 위치와 지원 유형의 유효성 결과를 살펴보고, 권한과 담당자 조치를 이어서 확인하세요.
조사 흐름 예시
확인된 근거부터 기록하고, 발급처에서 더 확인할 부분을 구분합니다.
- 발견 위치
- 연결된 저장소·문서 또는 모니터링하는 공개 자산 중 어디에서 자격증명이 나왔는지 확인합니다.
- 유효 상태
- 패턴 일치는 검토의 시작입니다. 유효성 확인은 검증을 지원하는 자격증명 유형에만 적용됩니다.
- 접근 범위
- AWS 액세스 키와 GCP API 키는 확인 가능한 권한 맥락을 살펴봅니다. 결제 키의 권한은 발급처에서 확인합니다.
- 담당자 조치
- 노출을 평가할 담당자를 정하고, 발급처에서 키를 교체·폐기한 뒤 결과를 기록합니다.
이 표는 편집용 조사 예시입니다. 제품 화면을 재현하거나 모든 결제 키를 검증할 수 있다고 주장하지 않습니다.
결제 키를 발견했을 때 묻는 세 가지
심각도 표시 하나보다 이 질문의 답이 다음 조치를 정하는 데 도움이 됩니다.
어디에 노출됐나요?
발견 위치, 공개 여부, 관찰 시점을 확인합니다. 복사된 키가 다른 위치에도 남았는지 살펴봐야 합니다.
지금도 작동하나요?
지원 유형이면 발급처 유효성 검사를 참고하고, 아니면 발급처 콘솔에서 확인합니다. 패턴 일치만으로 유효성이나 악용을 증명할 수 없습니다.
누가 차단할 수 있나요?
사용 서비스와 담당자, 발급처 로그를 확인한 뒤 발급처에서 교체·폐기합니다. 결정과 후속 확인을 인시던트에 남깁니다.
결과의 범위를 알아두세요
Cremit의 발견 기록을 조사 근거로 쓰고, 계정별 사실은 키를 발급한 서비스에서 확인하세요.
- 탐지는 연결한 소스와 모니터링하는 외부 자산을 대상으로 합니다. 회사의 모든 자격증명을 찾았다는 뜻은 아닙니다.
- 발급처 유효성 검사는 지원 유형에만 적용됩니다. 유효성 결과만으로 키의 악용 여부를 알 수는 없습니다.
- AWS 액세스 키와 GCP API 키의 권한 분석에는 필요한 연동이 있어야 합니다. 모든 결제 서비스의 권한을 자동 추론하지는 않습니다.
- 키 교체와 폐기는 담당자가 발급처에서 수행합니다. Cremit은 발견과 조치를 추적하며 PCI DSS·SOC 2 준수를 인증하지 않습니다.