취약점 진단·모의해킹(VAPT)
Vulnerability Assessment & Penetration Testing
시스템과 서비스의 취약점을 찾고, 그중 실제로 악용될 수 있는 것과 업무에 미치는 영향을 확인합니다.
취약점 진단과 모의해킹을 함께 진행하는 것이 기본이며, 정기 점검처럼 진단만, 중요한 서비스에는 모의해킹만 따로 맡기실 수도 있습니다.
이 시스템의 취약점은 실제로 악용될 수 있는가?
위험한 것부터 고칠 수 있도록, 발견사항마다 실제 영향과 다시 확인할 수 있는 증적, 개선 방향을 남깁니다.
전문가 검토 완료
이런 상황에 적합합니다
- 점검할 대상이 분명할 때
외주 업체가 만든 시스템을 넘겨받았거나 서버를 클라우드로 옮긴 뒤처럼, 점검할 대상이 정해져 있고 그 안의 취약점과 실제 영향을 알고 싶을 때입니다.
- 출시나 주요 변경 전후에 확인할 때
곧 새 서비스를 여는데 이대로 내보내도 될지 불안하다면, 공개 전에 한 번, 큰 변경 뒤에 다시 한 번 확인합니다.
- 외부에서 독립적인 점검 결과를 요청받았을 때
큰 고객사와의 계약, 거래처의 보안 체크리스트, 입찰, 인증 심사 준비처럼 외부 모의해킹 결과서를 내야 하는 경우입니다.
- 조치했다는 근거가 필요할 때
감사에서 지적된 취약점이나 사고 뒤 보완한 부분이 정말 고쳐졌는지, 처음과 같은 방법으로 다시 확인해 근거로 남깁니다.
SAFE SQUARE의 방식
넓게 살피고, 사람이 확인합니다
점검 기준과 도구, AI 에이전트로 대상 전반을 넓게 살피고, 나온 결과는 전문가가 하나씩 직접 확인해 오탐을 걸러냅니다.
업무 흐름까지 이해합니다
주문·결제·권한 같은 업무 흐름을 먼저 이해한 뒤 약점을 이어 가며, 여러 약점이 맞물려야 열리는 경로까지 따라갑니다.
고쳤는지 다시 확인할 수 있게
발견사항마다 확인한 조건과 증적을 남겨, 개발·운영 담당자가 직접 확인하고 조치한 뒤에도 같은 방법으로 다시 볼 수 있게 합니다.
진단과 모의해킹은 어떻게 다른가
둘은 목적과 깊이가 다릅니다.
| 구분 | 취약점 진단 (VA) | 모의해킹 (PT) |
|---|---|---|
| 확인하는 것 | 대상 전반에서 알려진 유형의 취약점과 설정 문제를 폭넓게 찾습니다. | 찾은 약점을 공격자처럼 이어, 실제로 어디까지 들어갈 수 있는지 확인합니다. |
| 방법 | 정해진 점검 항목을 대상 전반에 적용합니다. | 약점을 이어 가며 통제된 조건에서 직접 검증합니다. |
| 남는 결과 | 취약점 목록과 위험도, 조치 방법 | 공격 경로와 실제 업무 영향, 재현 가능한 증적 |
| 이럴 때 | 정기 점검, 출시 전 기본 확인, 넓은 범위를 한 번에 살펴야 할 때 | 중요한 서비스, 외부에 독립적인 검증 결과를 보여야 할 때, 진단 결과의 실제 위험을 확인하고 싶을 때 |
이런 곳을 점검합니다
대상마다 설정과 구성부터 장비·소프트웨어 자체까지 관련된 영역을 함께 점검합니다. 아래 영역은 예시이며, 여기에 없는 대상도 상담에서 함께 정합니다.
웹·API·모바일
- 대상
- 고객이 쓰는 웹 서비스와 모바일 앱, 그 뒤의 API와 관리자 화면, 연동된 외부 서비스까지 하나의 서비스로 봅니다.
- 점검할 수 있는 영역
- 로그인·세션·계정 관리
- 사용자별 권한과 데이터 접근
- 입력 처리와 서버 측 취약점
- 주문·결제 같은 기본 업무 흐름의 접근 통제
- 모바일 앱의 저장·통신·코드 보호
- 관리자 화면과 내부 API
- 파일 처리와 외부 연동
- 서버·프레임워크 설정
인증·권한 (AD·LDAP·SSO)
- 대상
- 사내 계정과 권한을 관리하는 디렉터리(AD·LDAP), 한 번의 로그인으로 여러 시스템에 들어가는 SSO와 인증 서버, 권한이 오가는 시스템 전반입니다.
- 점검할 수 있는 영역
- AD·LDAP 구성과 정책
- SSO·페더레이션(조직 간 인증 연계) 설정
- 권한 상승 경로
- 서비스 계정과 위임 설정
- 인증 서버와 다중 인증
- 입사·이동·퇴사에 따른 계정 관리
- 결제·승인 흐름의 권한 구조
서버·네트워크·클라우드
- 대상
- 온프레미스 서버와 네트워크, AWS·GCP·Azure 같은 클라우드, 컨테이너·쿠버네티스 운영 환경입니다.
- 점검할 수 있는 영역
- 외부에 노출된 서비스와 관리 화면
- 서버·OS·미들웨어 취약점
- 네트워크 구성과 분리
- 클라우드 계정·권한 관리(IAM)와 설정
- 저장소·키·비밀값 관리
- 컨테이너·쿠버네티스
- 로그·모니터링 설정
AI 에이전트·LLM 서비스·AI 인프라는 AI 시스템 보안 평가·침투테스트에서, 제어 시스템과 IoT·임베디드 기기·펌웨어는 산업제어·하드웨어 보안 검증에서 다룹니다.
어떤 정보로 시작하는가
점검자가 대상에 대해 얼마나 알고 시작하는지에 따라 볼 수 있는 것과 드는 노력이 달라집니다. 목표에 맞춰 함께 정합니다.
블랙박스
사전 정보 없이 외부 공격자와 같은 조건에서 시작해, 밖에서 보이는 모습을 그대로 확인합니다. 안쪽은 그레이박스나 화이트박스에서 더 깊이 볼 수 있습니다.
그레이박스
테스트 계정과 기본 구조 정보를 받아 로그인 이후 기능까지 확인합니다. 실제 공격 조건과 점검 범위 사이의 균형을 잡기 좋습니다.
화이트박스
소스 코드, 설계, 설정 정보까지 받아 안쪽에서 확인합니다. 겉으로 드러나지 않는 문제까지 찾을 수 있습니다.
진행 순서
목표·범위·조건 합의
대상과 목표, 점검 범위, 시작할 때 받을 정보 수준을 함께 정합니다.
준비
테스트 계정과 환경 정보를 준비하고, 대상의 구조를 파악합니다.
점검·검증
진단에서 나온 발견사항을 하나씩 확인하고, 모의해킹으로 그 가운데 실제로 악용되는 것과 업무 영향을 정한 조건 안에서 검증합니다.
결과 보고·설명
보안 상태 요약과 발견사항, 실제 영향, 증적, 개선 방향을 의사결정자와 기술 담당자에게 설명합니다.
조치 후 재확인
원하시면 조치한 부분을 같은 방법으로 다시 점검해 결과에 반영합니다.
안전하게 진행하기 위해서비스에 영향을 줄 수 있는 시험은 미리 정한 경우에만 하고, 테스트 계정과 범위를 정해 실제 사용자의 데이터를 건드리지 않게 진행합니다. 안전한 진행과 중단 기준, 사실과 추정의 구분, 자료의 보관·파기 같은 공통 원칙은 일하는 방식과 원칙에 있습니다.
고객에게 남는 결과
보안 상태 요약
의사결정자가 한눈에 볼 수 있도록 확인한 범위와 주요 위험, 먼저 고칠 일을 요약합니다.
발견사항과 실제 영향
취약점마다 위험도와 실제 악용 가능성, 업무 영향을 설명합니다.
재현 가능한 증적
모의해킹에서 따라간 공격 경로를 포함해, 각 결과를 다시 확인할 수 있는 절차와 조건, 근거를 남깁니다.
개선 방향
악용 가능성과 업무 영향에 따라 무엇부터 어떻게 고칠지 정리합니다.
로그인한 회원이 다른 회원의 주문 내역과 배송지를 볼 수 있음
위험도 높음- 대상
- 커머스 앱의 주문 조회 API · 그레이박스, 일반 회원 테스트 계정 두 개
- 실제 영향
- 회원의 이름·연락처·배송지가 다른 회원에게 드러날 수 있습니다. 확인은 테스트 계정 사이에서만 했습니다.
- 남긴 증적
- 확인한 조건(로그인 상태와 계정 권한), 요청·응답 기록, 화면
- 개선 방향
- 주문을 조회할 때 서버에서 요청한 회원과 주문의 주인이 같은지 확인합니다. 같은 방식으로 만든 다른 조회 API도 함께 점검합니다.
- 재확인
- 조치 후 같은 계정과 조건으로 다시 확인해, 결과에 ‘조치 확인’으로 기록합니다.
회사 밖에서 공격자에게 보이는 우리 자산과 정보를 찾는 일은 익스포저 인텔리전스에서 다룹니다. 결제·혜택 같은 업무 규칙의 빈틈이 실제 손실로 이어지는지는 비즈니스 로직·서비스 악용 검증에서 확인합니다.