웹 애플리케이션 모의 침투 테스트

기본으로 OWASP Top 10 - 인젝션, 손상된 접근 제어, 인증 결함, 보안 설정 오류, SSRF 등 - 을 다루고, 여기에 자동 스캐너가 찾을 수 없는 업무 로직 결함을 수작업으로 테스트합니다. 끊어진 워크플로, IDOR 형태의 인가 공백, 가격이나 수량 조작, 그리고 귀사 애플리케이션의 실제 동작에 고유한 다단계 프로세스 악용 등입니다.

예. 요즘 애플리케이션 대부분은 API 중심이며, 흥미로운 지적 사항은 보통 API 쪽에 있습니다. 객체 수준 인가 누락, 매스 어사인먼트, 요청 제한 공백, JWT 처리 문제 등입니다. REST나 GraphQL API가 있다면 뒷전이 아니라 프런트엔드와 함께 테스트합니다.

수작업 테스트이며, 자동 도구(Burp Suite 등)는 커버리지를 빠르게 하기 위해 쓸 뿐 판단을 대신하지 않습니다. 업무 로직 결함, 인가 우회, 연결된 취약점은 시그니처를 대조하는 스캐너가 아니라 애플리케이션의 실제 동작을 읽는 사람이 찾아냅니다.

일반적인 애플리케이션 기준 영업일로 3~5일이며, 범위에 포함된 역할 수, 워크플로 수, API 엔드포인트 수에 따라 달라집니다. 사용자 역할이 여럿이거나 권한 모델이 복잡한 큰 애플리케이션은 더 오래 걸리며, 정확한 일정은 서면 제안서에서 확정됩니다.

예, 오히려 그 편이 나은 경우가 많습니다. 스테이징이 운영 환경을 충실히 복제한 것이라면, 실제 고객 데이터에 대한 위험을 피하면서도 진짜 애플리케이션 로직을 테스트할 수 있습니다. 합의된 수행 규칙 기간 안이라면 운영 환경 테스트도 괜찮습니다.

웹 애플리케이션 테스트는 500달러부터 시작하며, 애플리케이션의 역할 수, 워크플로 수, 엔드포인트 수에 따라 정해집니다. 테스트 시작 전에 서면 고정 가격을 받으시며, 자세한 내용은 가격 페이지를 참고하십시오.