두번째 멘토링

서론

"장대현 멘토님과 2차 대면 멘토링을 하며 진단 대상 여행 플랫폼 '온데(Onde)'의 아키텍처를 자세히 점검받고, 개발 중인 자동 진단 플랫폼 '아르고스(Argus)'의 3단계 사양을 정했습니다. 또 모의해킹 관점, 8개 그룹 28개 항목 진단 기준, 증적 확보 방법을 다룬 멘토님의 특강을 통해 방어와 스캔에 필요한 내용을 배웠습니다."

장대현 멘토님 2차 대면 멘토링에서 온데 기능·취약점 테스트베드 피드백과 아르고스 3단계 사양, 실무 진단 특강 내용을 정리했습니다.

1. 멘토링 개요

2. 멘토링 핵심 피드백 ①: 진단 대상 '온데(Onde)' 플랫폼 기능 개선 및 취약점 도출

멘토님께 실제 배포된 온데(Onde) 여행 플랫폼 화면을 직접 보여 드리고 시스템 아키텍처 구조도(Onde_Architecture.pdf)를 바탕으로 자세한 점검을 받았습니다. 알파 테스트 결과와 인프라 구성도를 보완하기 위해 도메인별 기능 확장과 취약점 테스트베드 주입에 대한 피드백을 받았습니다.

① 사용자 / 판매자 / 관리자 비즈니스 로직 및 편의성 개선

• 사용자(User) 도메인 확장: 커뮤니티 활성화를 위해 여행기 리뷰 내에 '비밀 댓글 기능'과 '여행기 수정 기능'을 추가하기로 결정했습니다. 또한 사용자 편의성을 위해 개인정보(전화번호 수정, 비밀번호 변경 등)를 직접 관리할 수 있는 마이페이지 기능을 구현합니다.
• 판매자(Seller) 권한 및 대시보드 정비: 판매자의 모든 기능을 Seller Admin에서 처리할 수 있도록 권한 부여 체계를 정리합니다. 정산 승인 관리 화면에서 총 매출액뿐 아니라 세부 정산 내역도 볼 수 있는 '판매자 대시보드'와 판매자 전용 마이페이지(전화번호, 비밀번호 변경)를 새로 만들기로 했습니다.
• 관리자(Admin) 도메인 분리: 보안을 위해 사용자 로그인 창과 관리자 로그인 창이 합쳐진 구조를 없애고 로그인 페이지를 분리하기로 했습니다. 서버가 분리되어 있으므로 사용자 도메인과 관리자 도메인도 2개로 나누기로 했으며, 관리자 권한은 복잡성을 줄여 SUPER_ADMIN 중심으로 정리할 예정입니다. 또 관리자 패널에서 가입 사용자의 이름 등 상세 정보를 볼 수 있게 보완하고 IP 접근 제어와 2차 인증(2FA)을 기획에 반영했습니다.

② 온데(Onde) 취약점 주입 및 모의침투 테스트베드 설계

• 파라미터 변조 및 우회 결함: 모든 API 엔드포인트가 인증과 인가를 검증하는지 전수 검사 로직을 도입합니다. 가격 정보는 서버 단에 고정되어 있으나 투숙객 수와 객실 수를 조작하여 최종 결제 단가를 위조하는 금액 및 파라미터 변조 취약점, 그리고 마일리지 무단 조작 결함을 심도 있게 주입하기로 했습니다.
• 비즈니스 로직 및 인젝션 결함 구체화: 판매자가 관리자에게 파트너 신청을 하고 최종 승인이 나기 전, 파라미터를 조작하여 임의로 권한을 승인 상태로 바꾸는 취약점을 구성합니다. 국세청 사업자 등록 번호 진위 확인 버튼 우회 가능성을 검증하고, 매물 등록 시 판매자가 상품 값을 임의 조작하지 못하도록 고정 단가 대비 할인율만 조정할 수 있게 정리합니다.
• IDOR 및 XSS 탐지 포인트 설정: 타 사용자의 식별자(ID) 조작을 통해 마이페이지 정보에 무단 접근할 수 있는 IDOR 취약점을 배치합니다. PDF 출력 기능 등에서 발생하는 경로 조작 행위는 제외하되, 실제 패킷 덤프 기반으로 추적 가능한 SSRF, 파일 인클루전(File Inclusion), 중요 정보 파일 다운로드 취약점을 명확히 심어둡니다. 또한 메인 검색창 등의 입력 데이터 처리부에는 Reflected XSS 취약점이 성립되도록 열어두고 데이터 마스킹 필터를 연계 검증하기로 했습니다.

3. 멘토링 핵심 피드백 ②: '아르고스(Argus)' 자동 진단 플랫폼 계획 공유 및 3단계 명세

진단 대상을 스캔하고 관리할 웹 취약점 자동 진단 플랫폼 '아르고스(Argus)'의 구체적인 개발 계획과 핵심 3단계 주요 사양 명세를 멘토님께 브리핑하고 유효성을 검증받았습니다.

아르고스 플랫폼 3단계 상세 명세

STEP 01. 탐지 및 AI 우선순위 산정

• 목적: 진단 대상 웹 서비스의 여러 보안 취약점을 스캔하고, AI가 시스템의 비즈니스 맥락을 분석해 조치 우선순위를 정합니다.
• 통합 멀티 엔진 스캔: 동적 애플리케이션 보안 테스트(DAST) 도구인 OWASP ZAP, 정적 소스코드 분석(SAST) 도구인 Semgrep, 그리고 인프라 네트워크 신뢰도를 검증하는 SSL Labs를 하나의 흐름으로 묶어 결함 로그를 모읍니다.

STEP 02. Selenium 증거 캡처

• 목적: 1단계 스캔을 통해 우선순위가 수립된 주요 핵심 취약점들을 시각적 증거(Proof of Concept)로 캡처하여 개발자 및 보안 담당자에게 직관적으로 제공합니다.
• 공격 자동 Replay: 발견된 취약점이 실제 익스플로잇으로 이어지는지 확인하기 위해, Selenium Headless 브라우저가 모의 공격 시나리오 스크립트를 서버 백그라운드에서 자동으로 실행합니다.
• 증적 화면 확보: 가동 중 XSS 공격 구문 주입으로 인해 경고창(Alert)이 팝업되거나, 인가되지 않은 비정상 페이지로 강제 리다이렉트(Bounce)되는 순간 등의 브라우저 실시간 렌더링 화면을 포착하여 시각 자료 증적을 자동 확보합니다.

STEP 03. 조치 가이드 및 리포팅

• 목적: 획득된 취약점 데이터셋과 Selenium 스크린샷 증적 자원을 종합하여, SK쉴더스 가이드 표준 규격의 체계적인 한글 PDF 보고서 및 개발자 맞춤형 조치 방안을 원클릭으로 제공합니다.
• SK쉴더스 가이드 기반 매핑: 국내 대표 보안 전문 기업인 SK쉴더스의 Web/API 취약점 진단 가이드라인 항목과 탐지된 결함 데이터를 1:1로 매핑하여 체계적으로 분류 체계를 형성합니다.
• 맞춤형 시큐어 코딩 가이드: SK쉴더스 가이드를 기반으로 프로젝트 환경에 맞춘 Java, Python, PHP 등 언어 및 타깃 프레임워크별 구체적인 코드 수정(Patch) 예시와 안전한 소스코드 템플릿을 피드백합니다.
• 통합 보고서 발행: 보안 기술팀이 참고할 상세 패킷 및 스크린샷 증적 자료와 경영진 보고용 종합 요약 통계 지표가 모두 포함된 SK쉴더스 대응 표준 한글 PDF 보고서를 원클릭으로 발행하고 출력합니다.

4. [취약점 진단 특강] 장대현 멘토님의 실전 모의해킹 및 웹/API 진단 강의 요약

대면 멘토링 세션 중 장대현 멘토님께서 진행해 주신 실전 보안 진단 필드의 방법론, 증적 확보 기준, 컴플라이언스 체계에 대한 집중 강의 내용을 요약 정돈했습니다.

① 동적 · 정적 취약점 진단의 실무 접근 방법

• 동적 진단 중심의 수행: 실무 환경에서의 웹 및 API 취약점 진단은 구동 중인 애플리케이션 패킷을 제어하는 동적 진단 위주로 대부분 수행됩니다.
• 정적 진단 수행 기준: 소스코드 기반의 정적 진단을 실행할 때는, 시스템 내부의 모든 입력 포인트와 출력 포인트(입출력 포인트)를 빠짐없이 식별한 다음, 데이터가 전송되고 처리되는 핵심 제어 키워드인 GET, SET, IN, **OUT**의 흐름을 추적하여 로직을 진단해야 합니다.
• 인코딩 분석 역량: 패킷 통신 과정에서 데이터가 어떤 포맷으로 변조되는지 파악하기 위해, 파라미터 내의 Base64 인코딩 구문을 명확히 식별하고 분석할 수 있어야만 실제 취약점 존재 여부를 정확하게 가려낼 수 있습니다. 일반적인 권한 상승 취약점의 경우에도 Burp Suite 프록시를 활용한 서버 사이드 체크 및 검증 과정을 거쳐 한 번 더 확인해야 합니다.

② 실무 증적 캡처 기준 및 진단 등급 관리

• 응답 값(Response) 증적의 중요성: Burp Suite나 프록시 도구로 취약점 증적 스크린샷을 확보할 때, 단순히 변조한 파라미터나 구문을 전송한 '요청 값(Request)' 화면만 캡처하면 증거로서 부족합니다. 악성 스크립트나 공격 구문이 시스템을 거쳐 실제로 나온 '응답 값(Response)' 화면과 브라우저 실행 화면의 스크린샷을 확보하는 일이 실무에서 더 중요합니다.
• 보안 진단 프로세스 5단계 표준 수립: 플랫폼이 제어해야 할 표준 관리는 [보안진단 신청(담당자) → 진단 수행(진단자) → 취약점 조치(담당자) → 이행점검 수행(진단자) → 보안진단 완료]의 5단계 파이프라인으로 움직여야 합니다. 발견된 취약점의 조치 대응 및 진단 기준 치명도는 긴급, 중요, 일반 3단계 등급으로 나눠 관리하며, 기준 판정이 다소 애매모호한 취약점의 경우에는 컴플라이언스상 8-1 그룹으로 제외 분기하여 관리합니다.
• 8개 그룹 28개 항목 컴플라이언스 탑재: 표준 WEB/API 진단 프레임워크는 총 8개 그룹 28개 항목의 마스터 세부 진단 지표를 기준으로 수행되어야 하며, 최종 출력 리포트는 실무 기술진을 위한 사용자/판매자 보고서와 경영진을 위한 관리자 보고서로 분리 출력하는 설계를 채택해야 합니다.

③ 심화 취약점 도메인 및 차세대 위협 인지

• 제로데이(Zero-Day) 취약점의 이해: 소프트웨어 개발자나 보안 벤더가 시스템의 보안 결함을 공식 발견하거나 패치를 배포하기 전, 그 틈을 타 신속하게 악용 및 타격하는 해킹 및 사이버 공격의 메커니즘을 명확히 학습했습니다.
• 역직렬화 및 명령어 실행 제어: 객체 복원 시 악성 로직을 기동시키는 역직렬화(Deserialization) 공격의 원리와, SQL Injection을 통해 서버 내 시스템 명령어를 제어하는 xp_cmdshell 확장 프로시저의 침투 원리를 파악했습니다. 합법적으로 접근 가능한 대외 공개 출처 데이터를 수집·분석하여 보안 인텔리전스를 도출하는 OSINT 기법의 메커니즘도 확정했습니다.

5. Next Step: 피드백 반영 온데 취약점 테스트베드 개선 및 아르고스 스캐너 본격 코딩

2차 주간 멘토링 특강을 통해 프로젝트의 비즈니스 결함 로직과 실무 취약점 진단 표준 프로세스를 습득했으므로, 다음 스프린트 기간 동안 코드 구현에 착수합니다.

• 온데(Onde) 피드백 취약점 격리 주입: 비밀 댓글 및 수정 로직 편의성 보완과 함께 금액 변조 파라미터 조작 통제 해제, SSRF 및 중요 파일 다운로드 취약점 비즈니스 코드를 실서버에 추가 마감.
• 아르고스(Argus) 이기종 엔진 세션 바인딩 코딩: 백엔드 서버 내에 ZAP/Semgrep 멀티 스코프 분리 진단 세션 추적 API 클래스 코드를 직접 빌드하고 데이터베이스 스키마 연결.
• AI 프롬프트 JSON 스키마 매퍼 테스트: 8개 그룹 28개 항목 데이터와 위험도 등급(긴급/중요/일반)을 연산해 내는 프롬프트 엔지니어링 템플릿 테스트베드 가동.
• Selenium 응답값 증적 크롤러 결합: 윈도우 가상 서버 환경에서 Selenium 헤드리스 드라이버로 응답 패킷의 악성 스크립트 실행 화면을 감지해 AWS S3 버킷에 자동 저장하는 스크립트 연동 완료.