모의훈련
모의해킹 · 취약점 진단
취약점은 '있다'는 사실보다 '실제로 뚫린다'는 증명이 조직을 움직입니다.
시큐랩의 화이트해커가 실제 공격자와 동일한 관점으로 시스템을 점검하여, 서비스가 공격받기 전에 위험을 찾아내고 막아드립니다.
모의해킹과 취약점 진단, 무엇이 다른가요?
취약점 진단은 점검 기준(체크리스트)에 따라 시스템에 존재하는 알려진 취약점을 빠짐없이 찾아 목록화하는 진단입니다.
모의해킹(침투테스트)은 발견된 취약점을 실제 해커처럼 직접 악용(Exploit)하여 어디까지 침해가 가능한지 실증하는 진단입니다.
시큐랩은 두 방식을 함께 제공하여, '무엇이 취약한가'와 '실제로 어떤 피해로 이어지는가'를 모두 확인해 드립니다.
서비스 개요
운영 중이거나 오픈 예정인 정보시스템을 대상으로, 자동화 진단 도구와 전문가 수동 진단을 병행하여 보안 취약점을 도출하고 실제 침해 가능성을 검증합니다.
㈜시큐랩은 OWASP·KISA·행정안전부·금융보안원 등 공인 기준에 근거하여, 사전 합의된 대상·시간·방식 범위 안에서 서비스 영향을 최소화하는 통제된 방식으로 진단을 수행합니다.
진단 대상
웹 애플리케이션 진단
WEB APPLICATION
웹사이트·웹서비스·관리자 페이지·REST/GraphQL API를 대상으로 인증우회·권한상승·SQL 인젝션·XSS·비즈니스 로직 결함 등을 진단합니다. OWASP Top 10 기준으로 자동 스캐너가 놓치는 논리적 취약점까지 수동 진단합니다.
모바일 앱 진단
MOBILE APP
Android·iOS 앱을 대상으로 로컬 데이터 저장·통신 구간 암호화·서버 API·역공학(리버싱) 방어·루팅/탈옥 우회 취약점을 진단하여 앱과 연동 서버의 침해 가능성을 검증합니다.
인프라(시스템) 진단
INFRASTRUCTURE
서버(Linux/Windows)·네트워크 장비·DBMS·WEB/WAS·보안장비·클라우드(AWS/Azure/GCP)의 설정 취약점을 KISA 주요정보통신기반시설 상세가이드 기준으로 점검하고, 내부망 침투 시나리오를 검증합니다.
소스코드 진단
SECURE CODING
애플리케이션 소스코드를 정적분석(SAST) 도구와 전문가 수동 검증으로 진단합니다. 행정안전부 SW 개발보안 가이드 진단항목을 기준으로 취약 코드 라인과 시큐어코딩 조치 예시를 제공합니다.
진단 준거 기준
공신력 있는 국내외 보안 점검 기준에 근거하여 진단항목을 구성합니다.
진단 프로세스
-
STEP 01. 사전 협의 및 범위 산정 (Scoping)
-대상 정의: 진단 대상 URL·IP·앱·소스코드 범위와 접근 권한(계정)을 명확히 확정합니다.
-규칙 수립: 진단 시간대·허용 기법·제외 항목 등 진행 규칙과 비상 연락 체계를 합의합니다. -
STEP 02. 취약점 점검 (Assessment)
-자동 진단: 취약점 스캐너·CVE 점검 도구로 알려진 취약점을 신속하게 식별합니다.
-수동 진단: 보안 전문가가 자동 도구가 탐지하지 못하는 인증·권한·비즈니스 로직 취약점을 심층 진단합니다. -
STEP 03. 모의해킹 및 침투 검증 (Exploitation)
-실제 악용 검증: 발견된 취약점을 실제로 악용해 데이터 접근·권한 상승 등 침해 가능 범위를 검증합니다.
-취약점 체이닝: 개별 취약점을 연결하여 실제 공격 시나리오상 최종 피해 규모를 실증합니다. -
STEP 04. 분석 및 위험 평가 (Analysis)
-위험도 산정: 취약점별 발생 가능성과 영향도를 기준으로 위험등급을 산정합니다.
-결과 검토: 고객사와 특이사항·오탐 여부를 검토하여 진단 결과의 정확성을 확보합니다. -
STEP 05. 결과 보고 및 재점검 (Report & Retest)
-상세 보고서 제공: 취약점별 위험등급·재현 절차(PoC)·영향도·조치방안을 담은 종합 보고서를 제공합니다.
-무상 재점검: 조치 완료 후 취약점이 실제로 해소되었는지 확인하는 재진단을 수행하여 조치 완결성을 보장합니다.
주요 진단 항목
· 인증 및 세션 관리: 인증 우회, 세션 고정·탈취, 취약한 비밀번호 정책, 다중 인증 우회
· 접근 통제: 수평·수직 권한 상승, 접근 권한 미흡(IDOR), 관리자 기능 노출
· 입력값 검증: SQL 인젝션, XSS, 명령어 삽입, 파일 업로드·다운로드 취약점, SSRF
· 비즈니스 로직: 결제·포인트 금액 조작, 주문·예약 프로세스 우회, 쿠폰·인증 로직 악용
· 서버 및 설정: 불필요한 서비스 노출, 취약한 설정, 민감정보·소스코드 노출, 알려진 CVE 취약점
· 암호화: 통신 구간 암호화 미흡, 취약한 암호화 알고리즘, 민감정보 평문 저장
산출물 및 기대 효과
· 종합 진단 보고서: 취약점 목록·위험등급·재현 절차(PoC)·조치방안을 포함한 상세 보고서 제공
· 경영진 요약 보고서: 전체 보안 수준과 핵심 위험을 한눈에 파악할 수 있는 요약 자료 제공
· 컴플라이언스 대응: ISMS-P·전자금융감독규정·개인정보보호법 등 진단 수행 근거 및 증빙 자료 확보
· 보안 투자 우선순위 도출: 실제 악용 가능성 기반 위험도로 조치 우선순위를 명확히 하여 예산 효율 극대화
서비스가 공격당하기 전에, 시큐랩의 모의해킹·취약점 진단으로 먼저 방어하세요.
