지속적으로 발생하는 웹 해킹에 대응하기 위해 정부는 다양한 법령에서 웹 취약점을 점검할 것을 안내하고 있습니다.
정보통신기반보호법에 따르면 주요통신기반시설을 운영하는 기업은 웹 취약점을 정기적으로 분석 및 평가하고, 필요한 보완 조치를 취해야 하며, 연 1회 이상 점검할 것을 안내하고 있습니다. 또한, 전자금융감독규정에 따르면 전자금융거래를 지원하는 홈페이지는 6개월에 1회 이상의 웹 취약점을 점검할 것을 의무화하고 있습니다.
이처럼 주요정보통신기반시설, 전자금융기반시설 또는 개인정보를 처리하는 기업에서는 정기적으로 웹 취약점 점검을 수행해 웹 해킹 위협에 노출되는 것을 방지할 의무가 있습니다.
대민 서비스 홈페이지, 내부 업무망 시스템, 관리자 페이지 등 점검 대상이 되는 웹 페이지의 수는 증가하고 있습니다. 여기에 더해 게시물 등록, 예약 신청, 파일 업로드 등 웹을 통해 제공되는 기능도 다양해지며 웹 서비스 역시 복잡해지고 있습니다.
그에 비해, 점검 인력은 한정되어 있어 일일이 수동으로 전체 페이지와 서비스를 점검하는 데에는 한계가 있습니다. 또한, 웹 취약점 점검을 수행했다 하더라도 수많은 이슈가 검출될 경우엔 이 중 어떤 이슈가 가장 위험한 취약점인지 판단하고 조치하는 데 시간이 오래 걸립니다.
취약점의 위험도 기준으로 우선순위를 정하고, 조치가 필요한 부분만 선택적으로 재분석하거나 공격 과정을 재현해 취약점을 조치할 수 있는 환경이 필요합니다.
대부분의 홈페이지는 전체 페이지를 새로 고치지 않고, 필요한 영역만 바꾸는 동적 구조를 사용합니다. 이러한 구조에서 사용자의 실제 이용 과정 기반으로 웹 페이지를 분석하지 않으면 발생 가능한 취약점을 놓치기 쉽습니다.
대표적으로 크로스사이트 스크립트(XSS)의 한 공격 방식인 DOM 기반 XSS 공격이 있습니다. 크로스사이트 스크립트(XSS)는 웹 페이지에 악의적인 스크립트를 포함시켜 사용자 측에서 실행되게 유도할 수 있는 취약점으로, OWASP Top 10에 지속적으로 포함될 만큼 전 세계적으로 발생 빈도가 높습니다.
이러한 웹 해킹 위협에 선제적으로 대응하려면 사용자 행동 흐름과 다양한 웹 페이지 환경을 고려한 취약점 점검이 선행되어야 합니다.
주요정보통신기반시설 취약점 분석·평가 기준, 전자금융감독규정, OWASP Top 10 등 국내외 주요 컴플라이언스를 기준으로 웹 애플리케이션의 취약점을 점검합니다. 점검 과정에서 발견된 취약점은 각 컴플라이언스별로 정리됩니다. 또한, 취약점 점검 결과는 보고서로 출력해 외부 감사 대응이나 인증 평가 자료, 고객사 제출 시 활용할 수 있습니다.
대표 URL 입력만으로 하위 경로를 자동 수집해 전체 웹 페이지를 간편하게 분석할 수 있습니다. 검출된 취약점은 위험도에 따라 분류되며, 각 취약점의 상세 정보와 해결 방안이 제공됩니다. 또한 전체 이슈 중 특정 취약점만 선택적으로 재분석할 수 있으며, 공격 과정을 재현하거나 필요한 부분만 이행 분석함으로써 한정된 점검 인력으로도 효율적인 관리가 가능합니다.
전통적인 웹사이트(MPA)는 물론, 단일 페이지 애플리케이션(SPA)처럼 콘텐츠가 동적으로 구성된 환경에서도 취약점 분석이 가능합니다. DOM 변경, XHR 요청, Ajax 통신 등 사용자 인터랙션을 기반으로 웹 애플리케이션의 런타임 동작을 추적하며, 페이지 전환 없이 로딩되는 요소까지 탐지하기 때문에 클라이언트 측 취약점까지도 대응할 수 있습니다. 공격 시나리오에 기반한 이벤트 중심 분석을 통해 실제 사용자 환경에 가까운 방식으로 보안 점검을 수행할 수 있습니다.
내부에서 서버를 구축해 단일 플랫폼에서 취약점을 분석하고 통합관리할 수 있습니다.
검출 규칙 선택, 결재선 설정 등 다양한 관리 기능으로 취약점 조치를 효율화하고 싶은 조직에 적합합니다.
공공기관도 클라우드로 보안 취약점을 분석할 수 있도록 CSAP 인증을 획득했습니다.
이용 기관에 최적화된 망 분리 정책을 지원해 민간 SaaS를 활용하고 싶은 공공기관에 적합합니다.
웹 상에서 회원가입만으로 취약점 분석이 가능한 클라우드 서비스로, 관리 기능을 간소화해 전문 보안 인력과 예산이 부족한 소규모 기업에 적합합니다.
스패로우의 취약점 분석 엔진을 보안 시스템과 연동해 사용할 수 있도록 API를 제공합니다.
직접 사용 외에도 계약을 통해 취약점 분석 서비스 재판매도 가능합니다.
회사는 개인정보처리방침을 통하여 고객님께서 제공하시는 개인정보가 어떠한 용도와 방식으로 이용되고 있으며, 개인정보보호를 위해 어떠한 조치가 취해지고 있는지 알려드립니다. 회사는 개인정보처리방침을 개정하는 경우 웹사이트 공지사항(또는 개별공지)을 통하여 공지할 것입니다.
본 방침은 2024년 1월 2일부터 시행됩니다.
수집하는 개인정보 항목 회사는 상담, 서비스 신청 등을 위해 아래와 같은 개인정보를 수집하고 있습니다. 회사는
수집한 개인정보를 다음의 목적을 위해 활용합니다.
귀하가 개인정보의 오류에 대한 정정을 요청하신 경우에는 정정을 완료하기 전까지 당해 개인정보를 이용 또는 제공하지 않습니다. 또한 잘못된 개인정보를 제3자 에게 이미 제공한 경우에는 정정 처리결과를 제3자에게 지체없이 통지하여 정정이 이루어지도록 하겠습니다.
회사는 이용자 혹은 법정 대리인의 요청에 의해 해지 또는 삭제된 개인정보는 “회사가 수집하는 개인정보의 보유 및 이용기간”에 명시된 바에 따라 처리하고 그 외의 용도로 열람 또는 이용할 수 없도록 처리하고 있습니다.
고객은 위 목적으로 운영되는 맞춤
서비스를 원치 않을 시, 쿠키의 저장을 거부할 수 있습니다.
회사는 원칙적으로 개인정보 수집 및 이용목적이 달성된 후에는 해당 정보를 지체없이 파기합니다. 파기절차 및 방법은 다음과 같습니다.
개인정보 침해신고센터: (국번없이)118 (privacy.kisa.or.kr) 개인정보 분쟁조정위원회: (국번없이) 1833-6972 (www.kopico.go.kr) 대검찰청 사이버수사과 : (국번없이)1301 (www.spo.go.kr) 경찰청 사이버수사국 : (국번없이)182 (https://police.go.kr)
