01 / When you need it
이런 경우에
이런 경우에
필요합니다
- 01오픈 날짜는 이미 잡혔고 마지막 확인만 남았다.
- 02고객사나 파트너가 점검 결과서를 요구한다.
- 03권한 구조가 복잡해진 뒤로 인가 로직에 자신이 없어졌고, 어디부터 봐야 할지도 모르겠다.
- 04스캐너를 돌리긴 했는데 그 결과를 어디까지 믿어야 할지 모르겠다.
- 05인증 심사에서 기술 진단 근거를 요구받았다.
02 / Scope
수행 범위
- 웹 애플리케이션 — 인증과 인가를 우회할 수 있는지, 남의 권한으로 올라설 수 있는지를 봅니다. 권한별 계정을 받아 로그인 이후 영역을 중심으로 파고듭니다. 주입과 세션 처리, 업무 논리 결함도 여기서 나옵니다.
- API — 객체 수준 권한(BOLA)과 토큰 처리, 대량 조회, 과다 노출을 확인합니다. 프런트 화면만 보고 끝내면 가장 흔한 정보 노출 경로가 통째로 빠집니다.
- 모바일 앱 — 단말에 남는 데이터와 통신 보호를 보고, 위·변조와 루팅 우회를 시험합니다. 앱이 호출하는 API는 별개 항목으로 산정합니다.
- 내부망 — 계정 하나가 이미 탈취됐다고 치고 시작합니다. 거기서 어디까지 번지는지, 권한을 어디까지 올릴 수 있는지, 중요 자산에 닿는지를 따라갑니다.
- 시나리오 기반 — “고객 DB에 도달할 수 있는가” 같은 목표를 하나 정해 두고 최단 경로를 찾습니다.
- 오탐 제거 — 도구 출력물을 옮겨 적지 않습니다. 사람이 재현한 항목만 보고서에 올라갑니다.
| 대상 | 웹 · API · 모바일 · 내부망 · 무선 |
| 기법 | OWASP Top 10 / ASVS 기반 + 시나리오 |
| 전제 | 대상 범위 서면 승인, 테스트 계정 발급 |
| 환경 | 스테이징 우선, 운영은 제한적 수행 |
03 / Deliverables
산출물
아래 목록은 계약서에 명시되는 항목과 같습니다. 여기 없는 문서가 필요하시면 착수 전에 말씀해 주세요. 중간에 끼워 넣으면 일정이 밀립니다.
기본 제공
- 발견 사항별 재현 절차 (요청·응답 근거 포함)
- 침해 경로 다이어그램 · 영향 범위 분석
- 위험도 산정 결과와 산정 근거
- 개발·운영 담당자용 조치 가이드
- 경영진 보고용 요약본
- 조치 후 재점검 결과서 (1회 포함)
유의사항
- 부하를 거는 시험, 그러니까 서비스 거부 성격의 항목은 기본 범위에서 뺍니다. 필요하면 따로 합의합니다.
- 고객사 소유가 아닌 자산은 손대지 않습니다. 외부 SaaS와 공용 인프라가 여기 해당합니다.
- 실데이터는 최소 범위만 열람하고, 추출하거나 복제하지 않습니다.
- Critical 등급은 보고서를 기다리지 않습니다. 발견 즉시 담당자에게 알립니다.
단계별 절차와 위험도 산정 기준은 진단 방법론에 모두 공개해 두었습니다. 받아 보신 다른 제안서와 나란히 놓고 비교하셔도 됩니다.
04 / FAQ
자주 묻는 질문
견적 차이가 왜 이렇게 큰가요?
같은 “웹 모의해킹”이라는 이름을 달고도 안에 든 것이 다르기 때문입니다. 자동 스캔 결과를 정리해 주는 일인지, 사람이 하나씩 재현하는 일인지. 로그인 이후 영역을 보는지, API가 범위에 들어 있는지, 재점검이 붙어 있는지. 이 차이로 작업량이 몇 배까지 벌어집니다. 받으신 제안서를 보내주시면 어느 쪽인지 항목별로 짚어 드립니다.
운영 중인 서비스에 영향이 가지 않을까요?
운영 영향이 없는 방식과 시간대를 먼저 고릅니다. 스테이징이 있으면 그쪽을 씁니다. 운영 환경은 거기서만 확인되는 항목에 한해 제한적으로 들어갑니다. 이상 징후가 보이면 그 자리에서 멈추고 담당자에게 알립니다.
발견된 내용이 외부로 나가지 않나요?
착수 전에 NDA를 씁니다. 진단 데이터와 산출물은 합의한 경로로만 오가고, 보관 기간이 끝나면 파기한 뒤 파기 확인서를 드립니다.