# 자격증명 조사 기록

Cremit Research · Blast Radius 웹 실습 부록 · 2026-10-07
출처: https://www.cremit.io/ko/research/blast-radius#investigation-exercise

로컬에서 복사해 사용하세요. 원문 키, 토큰, 개인키를 이 문서에 넣지 마세요.
마스킹된 식별자와 접근이 제한된 증거 보관 위치만 기록합니다.
실습에는 가상 데이터를 사용하세요. 빈칸이나 누락된 로그를 “이상 없음”으로 해석하지 않습니다.

## 1. 식별 및 책임

- 조사 ID:
- 발급처 / 자격증명 유형 / 마스킹 식별자:
- 발급처 주체(계정·역할 등), 확인 근거:
- 발견 위치(민감한 쿼리·값 제외):
- 작성자 후보와 추정 근거:
- 확정 담당자 / 확정 시각 / 확인 근거:
- 의존 서비스 / 서비스별 교체 담당자:

## 2. 시간과 노출 범위 (UTC)

| 사건 | 시각 또는 범위 | 증거 위치 | 확인 사실 / 추정 / 미확인 |
| --- | --- | --- | --- |
| 최초 관측 | | | |
| 노출 시작의 상한·하한 | | | |
| 공개·공유 범위 확인 | | | |
| 발급처 검증 | | | |
| 발급처 교체·폐기 | | | |
| 재검증 | | | |
| 발견 위치 정리 | | | |

## 3. 접근 가능성과 실제 사용

- 현재 권한과 조회 시각:
- 추가로 맡을 수 있는 역할·접근 가능한 시크릿:
- 과거 권한과 변경 이력의 가용 여부:
- 조사 기간 / 확보한 로그 종류 / 수집 범위:
- 로깅 비활성·보관 만료·미수집 구간:
- 실제 사용을 뒷받침하는 관측 / 미확인 사항:

## 4. 조치 및 남은 일

- 의존 서비스 교체 순서와 영향 확인:
- 발급처 조치 ID·시각·결과 (원문 키 제외):
- 기존 세션·파생 토큰의 만료 또는 별도 차단 확인:
- 재검증 시각·방법·결과:
- 소스·캐시·이미지·이력의 잔존 노출 확인:
- 미완료 항목 / 담당자 / 다음 확인 시점:

## 5. 결론

- 확인한 사실:
- 증거 부족으로 판단할 수 없는 사항:
- 조사 종료 범위와 남은 추적 작업:
- 검토자 / 검토 시각:

예시 결론: 키는 발급처에서 폐기했고 재검증에서 인증 실패를 확인했다.
해당 기간의 데이터 접근 로그가 없어 과거 데이터 접근 여부는 판단할 수 없다.
현재 키 차단, 과거 사용 조사, 파생 세션 확인을 각각 기록한다.