웹 보안 테스트 가이드
웹 애플리케이션을 어떤 관점에서 살펴봐야 하는지 정리한 국제 참고 자료입니다. 점검 시야를 구성하는 기준으로 사용합니다.
Standards & Approach
화이트 해커는 국제 보안 가이드라인을 기준으로 진행합니다
감에 의존해 항목을 고르지 않습니다. OWASP WSTG, OWASP ASVS, NIST 보안 테스트 가이드 등 국제적으로 활용되는 보안 기준을 참고해, 공개 웹사이트에서 확인 가능한 항목을 체계적으로 점검합니다.
점검의 기준
무엇을 볼지는 기준이 정합니다.
점검 항목은 담당자의 경험만으로 정하지 않습니다. 공개적으로 검증된 보안 기준을 참고해 항목을 구성하고, 그중 공개·비침투 범위에서 확인 가능한 것만 선별해 적용합니다.
보안 검증 요구 수준
서비스가 어느 수준까지 보안을 갖춰야 하는지를 단계로 제시하는 기준입니다. 발견 항목의 위험도를 판단할 때 참고합니다.
보안 테스트 가이드
점검을 어떤 절차로 수행하고 결과를 어떻게 기록해야 하는지에 대한 기준입니다. 보고서의 근거 기록 방식에 반영합니다.
모든 표준 항목을 수행하거나 인증하는 서비스가 아니라, 사전에 합의된 공개·비침투 점검 범위에 해당하는 항목을 선별 적용합니다.
점검 방식
기준에서 결과까지
- 01
기준에 따른 점검
공개 자산, HTTPS/TLS, 보안 설정, 노출 정보 등을 정해진 기준에 따라 확인합니다.
- 02
증거 기반 판단
발견 항목마다 위치와 관찰 근거를 남기고 사실·추정·추가 확인 필요를 구분합니다.
- 03
실행 가능한 결과
단순히 문제를 나열하지 않고 위험도와 조치 우선순위를 함께 제공합니다.
최근 동향
공격은 정교해지기보다,
먼저 넓어졌습니다.
외부에서 확인 가능한 자산이 늘어나는 속도가 관리 속도를 앞지르는 것이 지금의 문제입니다. 기술적으로 어려운 침입보다, 관리 밖에 남은 공개 지점이 더 자주 문제가 됩니다.
관리 밖의 공개 자산
서비스가 늘어나는 동안 테스트 도메인, 이전 버전, 외부 도구 연동 지점이 함께 남습니다. 목록에 없는 자산은 점검 대상에서도 빠지고, 그만큼 오래 방치됩니다.
코드보다 설정
최근 확인되는 문제는 대부분 취약한 코드보다 설정과 노출 범위에서 생깁니다. 인증서, 연결 설정, 응답에 포함된 정보처럼 프레임워크가 대신 정해 주지 않는 영역입니다.
배포마다 변하는 상태
배포 주기가 짧아지면서 한 번 확인한 상태가 오래 유지되지 않습니다. 점검 결과를 시점으로 기록하고 변경 시점에 다시 확인하는 편이 현실적입니다.
조치까지의 거리
발견 목록만으로는 조치가 시작되지 않습니다. 어디에서 확인했는지와 무엇을 먼저 해야 하는지가 함께 있어야 개발사나 내부 담당자에게 그대로 전달됩니다.
우리의 기준
자동 스캐너 결과를
그대로 전달하지 않습니다.
외부에서 확인되는 노출을 사람이 검증하고, 개발사나 내부 담당자에게 바로 전달할 수 있는 형태로 정리합니다. 판단 기준과 근거를 함께 남기는 것이 결과물의 조건입니다.
기준을 밝힙니다
어떤 기준을 참고해 판단했는지 보고서에 표기합니다.
근거를 남깁니다
발견 위치와 관찰 근거 없이 위험을 주장하지 않습니다.
한계를 표기합니다
확인하지 않은 영역과 추가 확인 필요 항목을 구분합니다.
우리 사이트는 어떤 기준으로
확인해야 할지 문의해 주세요.
현재 우려하는 내용을 알려주시면 점검 대상과 가능한 범위를 먼저 확인해 안내합니다.