01 / When you need it
이런 경우에
이런 경우에
필요합니다
- 01인증 심사나 내부 감사에서 기술 진단 결과를 요구받았다.
- 02서버가 늘어나면서 설정이 제각각이 되었다.
- 03이전 진단 보고서를 받았는데 무엇부터 해야 할지 모르겠다.
- 04개발 조직에 시큐어코딩 기준을 주고 싶다.
- 05조치했다고 하는데 정말 닫혔는지 확인이 안 된다.
02 / Scope
수행 범위
- OS · DBMS — 계정·권한, 패치 수준, 로그 설정, 불필요 서비스, 기본 계정.
- 네트워크 · 보안 장비 — 접근 통제 정책, 관리 인터페이스 노출, 로깅 설정.
- 웹서버 · WAS — 디렉터리 노출, 오류 페이지, 보안 헤더, 업로드 처리.
- 소스코드 — 입력 검증, 인증·인가, 암호화 적용, 오류 처리, 하드코딩된 비밀정보.
- 판정 근거 기록 — 항목마다 확인 방법(명령·설정 위치)과 결과를 남겨 다음 진단 때 같은 기준으로 비교할 수 있게 합니다.
- 조치 우선순위 — 위험도와 조치 난이도를 함께 산정해 “이번 분기에 무엇부터”가 나오게 합니다.
| 시스템 | Linux · Windows · DBMS · 네트워크/보안 장비 |
| 코드 | 주요 언어 · 프레임워크 시큐어코딩 진단 |
| 항목 | 공개된 기술적 점검 기준을 환경에 맞게 조정 |
| 전제 | 점검 계정 발급 또는 담당자 동석 |
03 / Deliverables
산출물
계약서에 그대로 명시되는 목록입니다. 여기 없는 문서가 필요하시면 착수 전에 말씀해 주세요.
기본 제공
- 항목별 진단 결과서 (양호 / 취약 / 해당없음 + 판정 근거)
- 취약 항목 조치 가이드 및 설정 예시
- 조치 우선순위표
- 경영진 요약 리포트
- 재점검 결과서 (1회 포함)
유의사항
- 「주요정보통신기반시설 취약점 분석·평가」는 정보보호 전문서비스기업 지정 사업자가 수행하는 과업입니다. 쉴더스랩은 지정 사업자가 아니며 이 과업을 수주하지 않습니다. 해당 기준의 점검 항목을 참고한 자체 진단은 수행합니다.
- 에이전트 설치가 필요한 자동화 도구는 기본적으로 사용하지 않습니다. 필요 시 사전 협의합니다.
- 소스코드 진단은 저장소 접근 또는 사본 전달이 필요하며, 과업 종료 후 파기합니다.
단계별 절차와 위험도 산정 기준은 진단 방법론에 전부 공개되어 있습니다.
04 / FAQ
자주 묻는 질문
점검 항목을 미리 볼 수 있나요?
네. 범위 협의 단계에서 적용할 항목표를 먼저 드립니다. 환경에 맞지 않는 항목은 빼고 필요한 항목은 추가해 확정한 뒤 착수합니다.
자동화 도구만 돌리는 것과 무엇이 다른가요?
도구는 후보를 찾는 데 씁니다. 각 후보를 사람이 확인해 오탐을 제거하고, 그 환경에서 실제로 문제가 되는지 판단한 항목만 보고서에 남깁니다. 오탐이 섞인 목록은 담당자의 시간을 가장 크게 낭비시킵니다.
재점검은 어디까지 해주나요?
조치했다고 통보된 항목을 다시 확인하는 것이 기본 범위(1회)입니다. 전체 재수행이 필요하면 별도로 산정합니다.