웹취약점, 더 철저하게 분석하는 방법

1. API 호출 정보 기반으로 더 깊이있는 웹취약점 분석!

웹 서비스를 만들 때는 해커들이 취약점을 이용해 개인정보를 빼내거나 시스템을 망가뜨릴 수 있기 때문에 보안에 매우 신경을 써야 합니다. 그래서 개발자들은 웹 애플리케이션의 취약점을 미리 찾아내고 고치는 작업을 수행하며, 이를 위해 Sparrow DAST와 같은 웹 애플리케이션 취약점 동적 분석 도구가 주로 사용됩니다.

그러나 기존에도 웹 애플리케이션의 취약점을 찾는 도구들이 있었지만, 웹 서버 내부에서 일어나는 일부 위험한 동작들은 잘 발견하지 못했습니다. 예를 들어 해커가 보낸 악의적인 명령어가 서버 내부에서 실행되는 경우 같은 것들이죠.

스패로우가 보유한 API 호출 정보 기반 동적 분석 기술은 웹 서버의 동작을 더 깊이 들여다보는 혁신적인 방법을 제시합니다. 구체적으로, 웹 서버가 사용자의 요청을 처리하는 전 과정에서 호출하는 주요 기능(API)들의 정보를 상세히 기록됩니다. 이는 마치 서버의 모든 행동을 CCTV로 촬영하는 것과 비슷합니다.

2. 웹 서버에서 API 호출 정보를 어떻게 수집하나요?

API 호출 정보를 기록하는 것의 핵심적인 요소는 ‘추적 코드’라는 특별한 코드를 웹 서버의 중요한 부분에 삽입하는 것입니다. 이 추적 코드는 서버가 특정 작업을 수행할 때마다 자동으로 실행되며 해당 작업에 대한 상세한 정보를 수집합니다. 예를 들어, 어떤 API가 호출되었는지, 그 API에 어떤 데이터가 전달되었는지 등의 정보를 기록합니다.

웹 서버는 보통 여러 사용자의 요청을 동시에 처리하는데, API 호출 정보 기반 동적 분석 기술은 각 요청에 고유한 ID를 부여하여 추적합니다. 이를 통해 특정 요청이 서버 내에서 어떤 경로를 거쳐 처리되는지 정확히 파악할 수 있습니다.

수집된 정보는 실시간으로 취약점 분석에 활용됩니다. 분석 모듈은 이 상세한 정보를 기존의 동적 취약점 분석에 사용되는 요청 및 응답 데이터와 결합하여 분석합니다. 분석 모듈은 이 정보를 바탕으로 웹 애플리케이션의 동작을 더 정확하게 이해하고, 잠재적인 위험을 더 효과적으로 찾아낼 수 있게 됩니다.

스패로우의 API 호출 정보 기반 동적 분석 기술은 기존의 분석 방법으로는 발견하기 어려웠던 복잡한 취약점을 찾아내는 데 큰 도움이 됩니다. 예를 들어, 사용자의 입력 값이 여러 단계를 거쳐 처리되다가 최종적으로 위험한 동작을 수행하게 되는 경우, 이 기술은 그 전체 과정을 추적하여 문제를 파악할 수 있습니다.

더 나아가, 본 기술은 오탐을 줄이는 데도 도움이 될 수 있습니다. 웹 서버 내부의 상세한 실제 동작 정보를 바탕으로 분석하기 때문에, 실제로는 안전한 동작을 위험하다고 잘못 판단하는 경우를 줄일 수 있습니다.

스패로우의 API 호출 정보 기반 동적 분석 기술은 웹 애플리케이션 보안의 새로운 지평을 열어줍니다. API 호출 정보 등 애플리케이션의 내부 동작을 상세히 분석함으로써, 겉으로는 보이지 않는 깊숙한 곳의 취약점까지 발견할 수 있게 해주는 기술로, 이는 마치 의사가 단순한 외관 검사가 아닌 정밀 CT 촬영으로 질병을 진단하는 것과 유사합니다. 이러한 분석 기술을 통해 웹 서비스를 이용하는 모든 사람들이 더욱 안전하고 신뢰할 수 있는 디지털 세상을 만들어 갈 수 있을 것입니다.

▶️Sparrow DAST 바로가기 : Sparrow DAST 자세히 보기