자격증명 한 건을 끝까지 조사하는 방법

키 하나를 발견한 뒤, 어떻게 대응하나요?

GitHub에서 AWS 키를 찾았다고 가정해 보세요. 같은 자격증명을 놓고 확인할 정보와 담당자의 다음 행동을 순서대로 살펴봅니다.

실제 제품 컴포넌트에 가상 데이터를 넣은 예시입니다. 표시된 검증·담당자 상태는 설명을 위한 것이며, 실제 고객 결과나 실시간 스캔이 아닙니다.

1. 1 / 4

   발견 위치와 키를 함께 확인합니다.

   example-app 저장소의 config/example.env 12행에서 찾은 키입니다. 처음 발견했을 때는 유효성을 아직 모릅니다. 작성자는 담당자를 찾을 단서가 됩니다.

   다음 행동: 발견 경로를 확인하고, 지원하는 유형의 검증 결과를 확인합니다.

   AWS Access Key

   AWS유효성 미확인연결된 Vault에 없음

   aws_access_key_id: EXAMPLE••••••••••••

   aws_secret_access_key: ••••••••••••••••

2. 2 / 4

   작동하는 키를 구분합니다.

   예시에서는 AWS 발급처 검증에 성공해 “유효”로 표시됐습니다. 이 결과는 검증 시점에 인증할 수 있었다는 뜻입니다. 실제 사용 여부는 발급처 로그로 확인합니다.

   다음 행동: 노출 범위를 확인하고, 발급처에서 키를 조치할 담당자를 정합니다.

   AWS Access Key

   AWS유효함연결된 Vault에 없음

   aws_access_key_id: EXAMPLE••••••••••••

   aws_secret_access_key: ••••••••••••••••

3. 3 / 4

   추정 후보에서 확정 담당자로 이어집니다.

   작성자 후보를 그대로 책임자로 간주하지 않습니다. 팀이 확인한 담당자를 지정하면 같은 자격증명 화면에서 누가 대응할지 확인할 수 있습니다.

   다음 행동: 담당자가 의존 서비스를 확인하고 발급처에서 키를 교체하거나 폐기합니다.

   AWS Access Key

   AWS유효함연결된 Vault에 없음

   aws_access_key_id: EXAMPLE••••••••••••

   aws_secret_access_key: ••••••••••••••••

   담당자

   예시 담당자

   security@example.com

   지정됨

4. 4 / 4

   파일 삭제와 키 폐기를 따로 확인합니다.

   마지막 화면은 담당자가 발급처에서 키를 폐기한 뒤 재검증에서 사용 불가가 확인된 예시입니다. 코드에서 문자열을 지우는 것만으로 키가 폐기되지는 않습니다.

   마무리: 발견 위치 정리, 발급처 조치, 재검증 결과와 활동 로그를 함께 확인합니다.

   AWS Access Key

   AWS유효하지 않음연결된 Vault에 없음

   aws_access_key_id: EXAMPLE••••••••••••

   aws_secret_access_key: ••••••••••••••••

지원하지 않는 유형이나 검증에 필요한 정보가 없는 경우에는 직접 검토해야 합니다. 키 교체·폐기는 담당자가 발급처에서 수행합니다.