공격자의 시선
들어올 길이 있는가, 들어오면 어디까지 닿는가?
실제 공격자가 쓰는 정보와 방법으로 밖에서 안으로 따라갑니다. 드러난 흔적을 찾고, 열린 문을 두드리고, 계정과 권한을 따라 어디까지 넓혀 갈 수 있는지, 무엇을 빼내거나 멈출 수 있는지 확인합니다.
종합보안건강검진
Comprehensive Security Health Check
공격자의 눈으로 찾고, 방어자의 눈으로 확인합니다.
해킹과 보안의 문제를 공격하는 쪽과 지키는 쪽, 양쪽에서 살펴봅니다. 공격자라면 어디서 시작해 무엇을 노릴지, 조직은 그것을 막고 알아채고 되돌릴 수 있는지를, 합의한 범위 안에서 외부 노출부터 서비스·인프라, 인증·권한, 중요정보, 대응 준비까지 조직 전반에 걸쳐 확인합니다. 조직의 환경과 우선순위에 맞춰 여러 전문 역량을 결합하고, 필요한 부분은 실제로 검증해 주요 위험과 개선 순서를 제시합니다.
전반적인 상태는 어떠한가?
확인된 위험과 개선 우선순위를 종합합니다.
검토 완료
공격자와 방어자, 두 시선으로 봅니다
해킹은 한 곳의 취약점이 아니라 이어진 경로로 일어납니다. 그래서 같은 조직을 두 번 봅니다. 한 번은 들어오려는 쪽에서, 한 번은 지키는 쪽에서.
두 시선이 어긋나는 곳, 곧 공격은 지나가는데 방어는 알아채지 못하는 곳이 가장 먼저 고칠 곳입니다.
방어자의 시선
막을 수 있는가, 알아채고 되돌릴 수 있는가?
보호수단과 사람, 절차가 그 공격 앞에서 제 역할을 하는지 봅니다. 무엇이 드러나 있는지 알고 있는지, 막는지, 경계가 버티는지, 이상을 알아채고 멈추고 되돌릴 수 있는지, 무슨 일이 있었는지 설명할 기록이 남는지 확인합니다.
종합보안건강검진이 다른 점
취약점 목록을 만드는 데서 멈추지 않습니다. 문제들이 실제로 어떻게 이어져 피해가 되는지, 조직이 그것을 막고 알아챌 수 있는지까지 확인합니다.
두 시선으로 봅니다
공격자가 실제로 쓰는 방법으로 찾고, 방어 수단과 절차가 그 앞에서 제 역할을 하는지 함께 확인합니다. 한쪽만 보면 놓치는 틈이 두 시선이 만나는 곳에서 드러납니다.
조직 전반을 함께 봅니다
합의한 범위에서, 시스템 하나가 아니라 외부에 드러난 흔적부터 서비스·인프라, 계정과 권한, 중요정보, 사람과 절차까지 봅니다. 공격자는 부서와 시스템의 경계를 가리지 않습니다.
점이 아니라 경로로 봅니다
하나씩은 작아 보이는 문제도 이어지면 중요정보까지 닿습니다. 발견한 문제를 경로로 엮어, 실제로 일어날 수 있는 피해를 기준으로 위험의 크기를 판단합니다.
필요한 곳은 실제로 검증합니다
설문과 체크리스트로 끝내지 않습니다. 합의한 범위 안에서 중요한 위험은 위협 조사, 모의해킹, 레드팀에서 쓰는 방법과 기술로 직접 확인합니다.
사실과 추정을 나눠 말합니다
확인한 문제, 추가 확인이 필요한 정황, 이번에 확인하지 못한 부분을 구분해 적습니다. 확인하지 않은 곳을 안전하다고 쓰지 않습니다.
먼저 고칠 일로 끝납니다
발견사항을 나열하는 데서 끝내지 않습니다. 업무 영향과 근거에 따라 무엇부터 고칠지 순서를 정하고, 의사결정자와 실무 담당자에게 각각 설명합니다.
종합보안건강검진은 여러 전문 역량을 결합하는 통합 진단입니다. 각 관점은 SAFE SQUARE의 전문 서비스에서 쓰는 방법과 기술로 확인합니다.
관련 연구: 보안 인텔리전스·검증(INTEL·EXPLOIT) — 외부 노출과 공격표면을 분석하고, 시스템의 취약점과 실제 영향을 검증하는 기술을 연구합니다.
무엇을 확인하는가
해킹과 보안의 문제를 다섯 관점으로 나누고, 관점마다 공격자와 방어자의 질문을 함께 던집니다. 아래 이슈는 예시이며, 실제로 볼 대상은 고객의 환경과 고민에 맞춰 정합니다.
- EXPOSURE외부 노출·위협외부에서 관측되는 자산·계정·브랜드·정보와 관련된 위협 정황
- 공격자
- 우리 회사를 노린다면, 밖에서 무엇부터 찾을까?
- 방어자
- 모르는 채 열려 있거나 새어 나간 것은 없는가?
살펴보는 이슈
- SERVICE서비스·인프라주요 구성과 최근 변경, 알려진 취약점, 필요한 경우 실제 검증
- 공격자
- 어디로 들어올 수 있고, 알려진 공격이 통하는가?
- 방어자
- 최근 변경과 오래된 구성에서도 보호 조건이 지켜지는가?
살펴보는 이슈
- ACCESS인증·권한·보호 경계이용자·관리자 권한, 업무 흐름, 시스템 간 신뢰와 격리
- 공격자
- 계정 하나를 얻으면, 어디까지 넓혀 갈 수 있는가?
- 방어자
- 권한과 경계가 설계한 대로 막아 주는가?
살펴보는 이슈
- DATA중요정보·운영정보를 처리·저장·전달하는 방식과 그 설정, 운영, 보호조치
- 공격자
- 가장 값진 정보는 어디 있고, 어떻게 빼내거나 멈출 수 있는가?
- 방어자
- 중요정보가 어디로 흐르고 누가 보는지 알고, 잃어도 되살릴 수 있는가?
살펴보는 이슈
- READINESS대응 준비담당자와 절차, 보호수단이 필요할 때 제 역할을 하는지
- 공격자
- 들키지 않고 얼마나 오래 머무를 수 있는가?
- 방어자
- 알아채고, 멈추고, 되돌리고, 설명할 수 있는가?
살펴보는 이슈
범위와 깊이확인할 대상과 조건을 먼저 합의합니다. 얼마나 깊이 확인하고 얼마나 투입할지는 정해진 등급이 아니라 그 대상과 조건에 맞춰 정합니다. 모든 자산과 기술을 제한 없이 점검하거나 후속 검증을 자동으로 포함하지는 않습니다. 다른 서비스를 이용하기 전에 반드시 거쳐야 하는 단계도 아닙니다. 모든 서비스는 단독으로도, 여러 서비스를 묶어서도 계약할 수 있습니다.
이런 상황에 적합합니다
- 보안 점검을 제대로 받아 본 적이 없을 때
종합적인 점검을 받은 적이 없거나 마지막 점검이 오래되었고, 담당자가 바뀌거나 회사가 빠르게 커져 시스템 전체를 아는 사람이 없는 경우입니다.
- 가까운 곳에서 사고 소식이 들릴 때
같은 업계나 거래처가 해킹당했다는 소식에 '우리는 괜찮은가'라는 질문을 받고, 추측이 아니라 근거로 답해야 하는 경우입니다.
- 누군가 보안 현황을 물어 올 때
대표나 이사회, 투자 실사, 고객사의 보안 요구, 제휴·감사를 앞두고 지금의 보안 상태를 근거와 함께 설명해야 하는 경우입니다.
- 환경이 크게 바뀌었을 때
클라우드 이전, 인수·합병, 새 서비스 출시, 보안 담당자 교체처럼 시스템과 조직이 크게 바뀌어, 지금의 모습을 처음부터 다시 확인해야 하는 경우입니다.
- 개선 우선순위의 근거가 필요할 때
예산과 인력이 한정되어 있어, 어떤 위험부터 개선할지 근거를 갖고 정해야 하는 경우입니다.
진행 방식
고민과 범위 합의
지금의 고민에서 출발해 확인할 대상과 조건, 받을 자료와 접근 수준, 검증해도 되는 범위와 시간을 정합니다.
현황 파악
구성과 설정, 권한, 데이터 흐름에 관한 자료로 지금의 환경을 파악하고, 공격자가 노릴 만한 곳과 지켜야 할 곳을 추립니다.
공격·방어 관점의 확인
공격자의 시선으로 드러난 정보를 조사하고 실제로 통하는지 검증합니다. 방어자의 시선으로 그 공격을 막고 알아챌 수 있는지 확인합니다. 서비스에 영향을 줄 수 있는 검증은 미리 합의한 경우에만 합니다.
결과 설명
확인한 문제와 정황, 먼저 개선할 일을 의사결정자와 실무 담당자에게 각각 설명합니다.
고객에게 남는 결과
무엇을 어떤 조건에서 확인했는지, 보안 상태 요약, 근거를 갖춘 발견사항, 업무 영향과 개선 우선순위를 정리합니다.
SAMPLE먼저 고칠 일 · 예시설명을 위한 가상의 예시입니다
-
퇴사자 계정으로 밖에서 원격 접속이 됩니다
-
백업이 운영 서버와 같은 관리자 권한으로 지워집니다
-
회사 이름과 비슷한 도메인이 새로 등록되었습니다
사실로 확인한 문제
확인한 문제와 그 근거, 발생 조건을 함께 설명합니다.
추가 확인이 필요한 정황
아직 확정하지 않은 정황은 사실과 구분하고, 확인에 필요한 조건을 함께 적습니다.
이번 범위에서 확인하지 못한 부분
합의한 범위 밖이거나 조건상 확인하지 못한 부분을 분명하게 밝힙니다.
- 보안 상태 요약의사결정자에게
다섯 관점에서 본 지금의 상태를 의사결정자가 읽을 수 있게 정리합니다.
- 발견사항과 근거실무 담당자에게
문제마다 확인한 근거와 발생 조건, 공격 경로와 방어 공백, 개선 방향을 적어, 담당자가 다시 확인하고 고칠 수 있게 합니다.
- 먼저 개선할 일양쪽 모두에게
업무 영향과 근거를 기준으로 무엇부터 고칠지 순서를 정하고, 그 순서의 이유를 함께 적습니다.