제품외부 노출 스캐닝
회사 밖에 드러난 자산과 키까지 찾아냅니다.
도메인이나 GitHub 조직을 등록하면 연관된 공개 자산과 발견 근거를 확인할 수 있습니다. 지원하는 웹·앱 자산의 노출 상태를 모니터링하고, 시크릿 검사를 설정해 공개 콘텐츠에 남은 키도 살펴보세요.
- 공격 표면 담당자
- 보안 책임자
- 인프라 담당자
팀마다 이렇게 씁니다
같은 기능이라도 맡은 역할에 따라 하는 일이 다릅니다.
공격 표면 담당자
도메인과 GitHub 조직을 등록하고 제안된 관련 자산을 검토합니다.
보안 책임자
발견된 자산 중 무엇을 범위에 넣고 뺄지 정합니다.
인프라 담당자
자기 팀 자산을 확인하고 그곳에 노출된 키를 처리합니다.
외부 자산 한 건을 따라가면
도메인 하나로 시작해 노출된 키를 찾기까지의 흐름입니다.
01
시작 자산 등록
조직의 도메인이나 GitHub 조직 등을 등록합니다.
02
공개 단서에서 발견
인증서, DNS, 공개 링크 등에서 연관 자산과 귀속 근거를 모읍니다.
03
지원 대상 모니터링
제외하지 않은 자산은 하나하나 승인하지 않아도 바로 점검합니다.
04
결과 검토
발견 위치와 검사 범위를 보고 담당자가 조치 여부를 판단합니다.
어떤 자산에서 시작하고, 무엇을 발견하나요?
탐색의 시작점은 조직이 등록한 자산입니다. 발견 근거가 있다는 사실과 그 자산을 조직이 소유한다는 판단은 구분해야 합니다.
- 등록하는 시작 자산
도메인, 웹사이트, API 엔드포인트, IP 주소, iOS·Android 앱, GitHub 조직을 등록할 수 있습니다. 유형에 따라 후속 탐색과 검사 방식이 다릅니다.
- 공개 단서
공개 인증서의 이름, DNS가 가리키는 주소, 사이트가 참조하는 API, 앱 연결 파일, 조건에 맞는 공개 커밋 등에서 후보를 찾습니다.
- 발견 후 상태
발견한 도메인·웹사이트·API 엔드포인트·앱은 자동으로 모니터링 대상에 들어갑니다. 명시적으로 제외한 자산은 다시 점검하지 않습니다.
실제로 어디까지 검사하나요?
도달성 확인과 본문 시크릿 검사는 다른 단계입니다. 각 결과를 읽을 때 적용된 설정과 검사 범위를 함께 보세요.
도달성 확인
대상에 공개 요청을 보내 응답과 상태를 확인합니다. 로그인이나 폼 제출, 취약점 공격은 하지 않습니다.
본문 시크릿 검사
조직의 시크릿 검사 설정이 켜진 경우에만 지원 자산의 공개 HTML·JavaScript·JSON 등에서 자격증명으로 보이는 값을 찾습니다. 탐지 범위에는 문서 수, 크기, 시간 상한이 있습니다.
선택적 심층 검사
연결된 JS 청크와 소스맵, 같은 호스트의 앱 파일, 서명을 확인할 수 있는 Android 패키지까지 살펴봅니다.
탐지 결과가 뜻하는 것
발견 위치, 탐지 규칙, 검증 상태는 서로 다른 근거입니다. 실제 사용 여부는 별도 조사가 필요합니다.
공개 위치
결과에 공개 출처와 관측 시각을 남깁니다. 세부 위치는 암호화해 저장하며 확인 가능한 경우 인벤토리에서 볼 수 있습니다.
시크릿 탐지
탐지 규칙에 맞는 값을 발견했습니다. 주변 맥락과 함께 확인하세요.
유효성 및 대응
발급처 검증 결과로 살아 있는 키인지 확인합니다. 담당자는 발급처 로그와 접근 범위를 검토하고 키를 교체하거나 폐기합니다.
자주 묻는 질문
발견한 자산은 승인 전까지 스캔하지 않나요?
발견한 자산은 자동으로 모니터링 대상이 됩니다. 점검하지 않을 자산은 제외하거나 모니터링을 멈출 수 있습니다.
도메인 소유권 인증을 마쳐야 하나요?
소유권 인증은 신뢰 표시로 따로 제공하며, 인증 없이도 모니터링할 수 있습니다.
깨끗한 결과면 공개된 키가 없나요?
아니요. 그 실행에서 정해진 범위를 검사해 탐지하지 못했다는 뜻입니다. 실패·미검사·상한에 걸린 범위와 선택적 심층 검사 여부를 따로 확인하세요.
키를 자동으로 폐기하나요?
아니요. Cremit은 탐지와 검토 근거를 제공합니다. 키 교체나 폐기는 담당자가 발급처에서 수행해야 합니다.
발견 이후의 조사로 이어가세요
연결한 내부 소스의 검사와 외부 공개 자산의 검사는 시작점이 다릅니다. 두 결과 모두 위치와 유효성 근거를 분리해 검토하세요.