VAPT(취약점 진단·모의해킹)
Vulnerability Assessment & Penetration Testing
이 시스템의 취약점은 실제로 악용될 수 있는가?
합의한 시스템과 서비스를 넓게 살펴 취약점과 설정 문제를 찾고, 공격자처럼 약점을 이어 실제로 어디까지 들어갈 수 있는지와 업무 영향을 전문가가 직접 확인합니다.
취약점 진단·모의해킹
Vulnerability Assessment & Penetration Testing
취약점과 악용 조건, 실제 영향을 확인합니다.
시스템과 서비스를 정해 취약점을 넓게 찾고, 그중 실제로 악용되는 경로와 업무 영향을 전문가가 직접 확인합니다. ‘한 고객의 정보는 다른 고객에게 보이면 안 된다’처럼 꼭 지켜야 할 조건이 있다면, 그 조건이 깨질 수 있는 경로를 따로 설계해 검증합니다.
취약점은 실제로 악용될 수 있고, 중요한 보호 조건은 제대로 지켜지는가?
문제가 생기는 조건과 실제 영향을 검증하고, 개선 방향을 제시합니다.
검토 완료
두 가지 서비스
점검할 대상에서 출발할지, 걱정되는 피해에서 출발할지에 따라 나뉩니다.
VAPT
맞춤형 보안 검증
Bespoke Security Validation
우리가 걱정하는 피해는 실제로 일어날 수 있는가?
쿠폰·포인트 악용, 앱 변조, 개인정보 유출, 고객사 간 데이터 노출처럼 걱정되는 피해나 반드시 지켜야 할 조건에서 출발해, 그 피해로 이어지는 경로를 설계하고 집중 검증합니다.
둘은 함께 쓸 수 있습니다. VAPT로 대상 전반을 넓게 살핀 뒤, 가장 걱정되는 피해를 맞춤형 검증으로 깊게 확인하는 식입니다. 어디서 시작할지는 상담에서 함께 정합니다. 모든 서비스는 단독으로도, 여러 서비스를 묶어서도 계약할 수 있습니다.
현실적인 공격 상황에서 조직의 예방·탐지·대응을 확인하는 레드팀 작업은 과제에 맞춰 별도 범위로 구성합니다. 레드팀·보안 대응력 검증
무엇을 점검하나
대상마다 구조와 공격 방식이 달라, 확인할 항목과 방법, 필요한 전문성도 대상에 맞춰 정합니다. 실제 공격은 대상 사이의 연결을 타고 넘어오므로, 대상이 이어지는 지점도 함께 봅니다.
- WEB웹·API·모바일
고객이 쓰는 웹 서비스와 앱, 그 뒤의 API와 관리자 화면까지 하나의 서비스로 봅니다. 로그인과 권한, 주문·결제 같은 업무 흐름이 중심입니다.
- IAM인증·권한 (AD·LDAP·SSO)
사내 계정과 권한이 모이는 곳입니다. 권한 상승 경로와 서비스 계정, 입사·이동·퇴사에 따른 계정 관리를 봅니다.
- CLOUD서버·네트워크·클라우드
외부에 열린 서비스와 관리 화면부터 네트워크 분리, 클라우드 권한(IAM)과 키·비밀값, 컨테이너·쿠버네티스 운영 환경까지 봅니다.
- AGENTAI 에이전트
메일·일정·사내 시스템·외부 도구를 쓰는 에이전트가 가진 권한과, 사람의 승인이 있어야 하는 행동의 경계, 외부 입력에 흔들리지 않는지를 봅니다.
- LLMLLM 서비스
챗봇·검색 증강 답변(RAG)·요약 같은 서비스에서 프롬프트 인젝션, 시스템 지시문과 민감 정보의 노출, 검색 대상 문서의 권한을 봅니다.
- OTOT·제어 시스템
제어망과 업무망의 경계와 원격 접속 경로, PLC 같은 제어 장비와 펌웨어 자체의 취약점까지 봅니다. 운영 중인 설비에 영향이 없도록 방법부터 정합니다.
- IOTIoT·임베디드·펌웨어
매장·가정·현장의 연결 기기와 펌웨어, 하드웨어 인터페이스, 기기·앱·클라우드 사이의 통신과 업데이트 과정을 봅니다.
- GPUGPU·HPC
모델 학습·추론에 쓰는 클러스터의 스케줄러와 관리 인터페이스, 사용자·팀 사이의 격리, 공유 저장소와 모델 파일 권한을 봅니다.
어떤 피해를 검증하나
걱정되는 피해에서 출발할 때는 분야마다 따로 설계한 검증 항목을 씁니다. 여러 분야를 묶을 수 있고, 여기에 없는 걱정도 함께 설계합니다.
- 비즈니스 로직 악용 검증
쿠폰·포인트·환불·예약 같은 업무 규칙을 정상 절차 밖에서 이용해 이득을 볼 수 있는가?
- 앱·클라이언트 로직 보호 구조 검증
우리 앱을 분석하면 핵심 로직과 보안 기능이 얼마나 쉽게 드러나고, 변조·우회될 수 있는가?
- 개인정보·민감정보 노출 가능성 검증
개인정보와 중요 정보는 어디에 남고, 어디서 샐 수 있는가?
- 망분리·정보 반출 통제 검증
분리했다고 믿는 망과 자료가 실제로 격리되어 있고, 중요 자료가 밖으로 나갈 길은 없는가?
- 테넌트·시스템 격리 검증
여러 고객사가 함께 쓰는 서비스에서, 한 고객사의 데이터와 기능이 다른 고객사로 넘어갈 수 있는가?
- AI·신기술 보호 조건 검증
AI 에이전트나 새로 들인 구조가, 우리가 정한 선을 실제로 넘지 않는가?
진행 방식
두 서비스 모두 시작 전에 목표와 범위, 안전 조건을 서면으로 합의합니다.
목표·범위 합의
점검할 대상이나 지켜야 할 조건, 제공받을 정보 수준(블랙·그레이·화이트박스), 허용·금지 행위와 중단 조건을 정합니다.
준비
권한별 테스트 계정과 환경, 점검 기간의 연락 담당자, 운영 환경이라면 점검할 수 있는 시간대를 맞춥니다.
점검·검증
도구와 AI 에이전트로 넓게 살피고, 전문가가 직접 분석해 실제로 악용되는지 안전하게 확인합니다.
결과 설명
발견사항과 실제 영향, 증적, 개선 방향을 의사결정자와 기술 담당자에게 각각 설명합니다.
조치 후 재확인
합의한 경우, 고친 결과를 같은 방법으로 다시 확인합니다.
안전하게 진행하기 위해서비스에 영향을 줄 수 있는 시험은 미리 합의한 경우에만 하고, 이상 징후가 보이면 합의한 기준에 따라 멈추고 담당자에게 알립니다. 점검 중 다루는 데이터와 증적의 보관·파기 방식도 시작 전에 정합니다.
고객에게 남는 결과
무엇을 어떤 조건에서 확인했는지부터 발견사항의 실제 영향과 근거, 고칠 순서까지 정리합니다.
확인한 범위
점검한 대상·조건·계정 권한과, 이번에 확인하지 못한 부분을 분명히 적습니다.
발견사항과 실제 영향
실제로 악용되는지, 업무에 어떤 영향이 있는지를 설명합니다. 확인한 사실과 추가 확인이 필요한 정황은 나눠 적습니다.
재현 가능한 증적
각 결과를 다시 확인할 수 있는 절차와 조건, 근거를 남깁니다.
개선 방향과 순서
악용 가능성과 업무 영향에 따라 무엇부터 어떻게 고칠지 정리합니다.
맞춤형 검증은 여기에 더해 시나리오마다 막혔는지 뚫렸는지와 그 조건을 남깁니다. 결과는 인증 심사나 법률 판단을 대신하지 않으며, 조치 후 재확인은 따로 정합니다.
관련 연구: 오펜시브 엔지니어링(EXPLOIT) — 공격자 관점에서 취약점과 실제 영향을 분석·검증하는 기술을 연구합니다.