제품외부 노출 스캐닝
회사 밖에 드러난 자산과 키까지 찾아냅니다.
도메인이나 GitHub 조직을 등록하면 연관된 공개 자산과 발견 근거를 확인할 수 있습니다. 지원하는 웹·앱 자산의 노출 상태를 모니터링하고, 시크릿 검사를 설정해 공개 콘텐츠에 남은 키도 살펴보세요.
- 공격 표면 관리자
- 보안 책임자
- 인프라 운영자
팀마다 이렇게 씁니다
같은 기능이라도 맡은 역할에 따라 하는 일이 다릅니다.
공격 표면 관리자
도메인과 GitHub 조직을 등록하고 제안된 관련 자산을 검토합니다.
보안 책임자
발견된 자산 중 무엇을 범위에 넣고 뺄지 정합니다.
인프라 운영자
자기 팀 자산을 확인하고 그곳에 노출된 키를 처리합니다.
외부 자산 한 건을 따라가면
도메인 하나로 시작해 노출된 키를 찾기까지의 흐름입니다.
01
시작 자산 등록
조직의 도메인이나 GitHub 조직 등을 등록합니다.
02
공개 단서에서 발견
인증서, DNS, 공개 링크 등에서 연관 자산과 귀속 근거를 모읍니다.
03
지원 대상 모니터링
지원하는 발견 자산은 개별 승인 없이 모니터링 대상이 됩니다. 제외한 자산은 검사하지 않습니다.
04
결과 검토
발견 위치와 검사 범위를 보고 소유자가 조치 여부를 판단합니다.
어떤 자산에서 시작하고, 무엇을 발견하나요?
탐색의 시작점은 조직이 등록한 자산입니다. 발견 근거가 있다는 사실과 그 자산을 조직이 소유한다는 판단은 구분해야 합니다.
- 등록하는 시작 자산
도메인, 웹사이트, API 엔드포인트, IP 주소, iOS·Android 앱, GitHub 조직을 등록할 수 있습니다. 유형에 따라 후속 탐색과 검사 방식이 다릅니다.
- 공개 단서
공개 인증서의 이름, DNS가 가리키는 주소, 사이트가 참조하는 API, 앱 연결 파일, 조건에 맞는 공개 커밋 등에서 후보를 찾습니다.
- 발견 후 상태
지원하는 도메인·웹사이트·API 엔드포인트·앱은 모니터링 대상이 됩니다. 명시적으로 제외한 자산은 검사하지 않습니다.
실제로 어디까지 검사하나요?
도달성 확인과 본문 시크릿 검사는 다른 단계입니다. 각 결과를 읽을 때 적용된 설정과 검사 범위를 함께 보세요.
도달성 확인
대상에 공개 요청을 보내 응답과 상태를 확인합니다. 로그인이나 폼 제출, 취약점 공격은 하지 않습니다.
본문 시크릿 검사
조직의 시크릿 검사 설정이 켜진 경우에만 지원 자산의 공개 HTML·JavaScript·JSON 등에서 시크릿으로 보이는 값을 찾습니다. 탐지 범위에는 문서 수, 크기, 시간 상한이 있습니다.
선택적 심층 검사
설정과 접근 가능 여부에 따라 연결된 JS 청크, 일부 소스맵, 같은 호스트의 앱 파일이나 서명을 확인할 수 있는 Android 패키지를 검사할 수 있습니다.
탐지 결과가 뜻하는 것
발견 위치, 탐지 규칙, 검증 상태는 서로 다른 근거입니다. 실제 사용 여부는 별도 조사가 필요합니다.
공개 위치
결과에 공개 출처와 관측 시각을 남깁니다. 세부 위치는 암호화해 저장하며 확인 가능한 경우 인벤토리에서 볼 수 있습니다.
시크릿 탐지
탐지 규칙에 맞는 값을 발견했습니다. 주변 맥락과 함께 확인하세요.
유효성 및 대응
지원 유형은 발급처 검증 결과로 유효한 키인지 확인합니다. 유효함이라는 결과만으로 악용을 증명하지는 않습니다. 소유자는 발급처 로그와 접근 범위를 검토하고 키를 교체하거나 폐기합니다.
자주 묻는 질문
어떤 플랜에서 쓸 수 있나요?
외부 노출 스캐닝은 Enterprise 플랜에서 제공합니다. 등록할 도메인·GitHub 조직과 예상 스캔 사용량을 알려 주시면 도입 범위와 견적을 안내합니다.
발견한 자산은 승인 전까지 스캔하지 않나요?
아닙니다. 지원하는 발견 자산은 개별 승인 없이 모니터링 대상이 됩니다. 검사하지 않을 자산은 제외하거나 모니터링을 멈추세요. 조직 설정에 따라 실제 범위가 달라집니다.
도메인 소유권 인증을 마쳐야 하나요?
아닙니다. 소유권 인증은 별도의 신뢰 표시이며, 인증 없이도 모니터링할 수 있습니다. 발견 근거나 모니터링 상태만으로 소유권이 확인되는 것은 아닙니다.
깨끗한 결과면 공개된 키가 없나요?
아니요. 그 실행에서 정해진 범위를 검사해 탐지하지 못했다는 뜻입니다. 실패·미검사·상한에 걸린 범위와 선택적 심층 검사 여부를 따로 확인하세요.
키를 자동으로 폐기하나요?
아니요. Cremit은 탐지와 검토 근거를 제공합니다. 키 교체나 폐기는 소유자가 발급처에서 수행해야 합니다.
발견 이후의 조사로 이어가세요
연결한 내부 소스의 검사와 외부 공개 자산의 검사는 시작점이 다릅니다. 두 결과 모두 위치와 유효성 근거를 분리해 검토하세요.