Day 29 — 세번째 멘토링

서론

"장대현 멘토님과 세 번째 대면 멘토링을 했습니다. 그동안 끝낸 수동 진단과 이행 점검을 바탕으로, 중간 발표 PPT를 어떻게 줄이고 보여 줄지, 28개 항목 취약점 캡처 기준을 어떻게 잡을지, 아르고스(Argus) 시연 순서를 어떻게 맞출지 피드백을 받아 정리했습니다."

세 번째 멘토링에서 중간 발표 PPT 정리, 28개 항목 취약점 캡처 기준, 아르고스 파이프라인 시연 순서 피드백을 받았습니다.

1. 멘토링 개요

항목	내용
일시	2026년 6월 27일 (토) 멘토링 / 기록일 6월 30일
멘토	장대현 멘토님
참석자	개발팀 전원
안건	중간 발표 PPT 장표 정리, 28개 항목 취약점 캡처 기준, 아르고스(Argus) 시연 순서 조정

2. 멘토링 핵심 피드백 ①: 중간 발표 PPT 줄이기와 구성 정리

멘토님께서는 지금 발표 장표에 글이 너무 빽빽해서 청중에게 잘 안 전달될 수 있다고 보셨습니다. 글 위주 구성을 줄이고, 그림·화면 위주로 장표를 다시 짜라고 하셨습니다.

① 기획 및 팀 소개 장표

바이브 코딩 시각화: 개념을 길게 설명하는 텍스트는 줄이고, 자연어 명령 한 줄이 소스코드로 바뀌는 흐름을 보여 주는 이미지나 핵심 키워드 중심으로 다시 배치합니다.
온데(Onde) 소개: 기능 명세만 나열하지 말고, 실제로 돌아가는 플랫폼 대시보드·서비스 화면 스크린샷을 앞에 두어 진단 대상의 완성도를 보여 줍니다.
팀 구성 및 개발 전략 장표: 7명의 이름과 역할을 글자로만 나열하던 방식은 버리고, 각 팀원이 담당한 Presentation · Business · Infra 레이어를 세로·가로 화살표 흐름도로 연결합니다. 프론트·백엔드·인프라 R&R이 어떻게 이어져 만들어졌는지 한눈에 보이게 하라는 지시였습니다.
ONDE 전체 페이지별 기능 구조도: 글씨 크기는 키워 읽기 쉽게 하되, 세부 기능 설명은 덜어내고 큰 흐름만 짧게 브리핑하도록 압축합니다.

② 취약점 진단 및 아르고스(Argus) 시연 순서 재정렬

정량 수치와 오탐 설명: 수동 진단에서 나온 중요 건수·일반 건수, 컴플라이언스 항목 수(총 149건)를 대조 표로 만듭니다. 특히 백엔드 500 내부 서버 오류가 났을 때 "왜 오탐인지" 프레임워크 쪽 구조적 원인도 같이 적습니다.
진단 시간 비교: 전문 진단원이 패킷을 잡고 변조해 넣는 데 걸린 시간과, 아르고스 파이프라인이 원클릭으로 스캔을 끝낸 시간의 차이를 대조 차트로 보여 플랫폼이 필요한 이유를 분명히 합니다.
통합 진단 플랫폼 장점: 상용 보안 솔루션의 진입 장벽을 줄인 아르고스의 이점을 슬라이드에서 더 직관적으로 드러냅니다.
아르고스 아키텍처·시연 영상: 엔진 내부 아키텍처 설명을 명확히 추가합니다. 시연 영상이 재생될 때 파이프라인 단계에 맞춰 [ZAP 스캔 진행 중 → Selenium 실시간 Replay 캡처 중 → AI 보고서 마감 및 PDF 생성] 자막을 붙여, 어떤 모듈이 돌아가는지 보이게 합니다.

3. 멘토링 핵심 피드백 ②: 취약점 증적 캡처 기준

수동 진단 결과보고서와 아르고스 증적 모듈이 믿을 만하다는 걸 보여 주기 위한 기준을 받았습니다.

[멘토링 권고 — 취약점 증적 제출 3원칙]

문제점 기술: 어려운 문장은 빼고, 인자 조작의 핵심만 짧게 적기.

전 과정 추적: 공격 페이로드가 들어가서 결과가 나오기까지 빠짐없이 캡처.

비교: 조치 전 유출 응답과 조치 후 차단 응답의 Before-After 대조.

① 공격 도달 전 과정 스크린 캡처 (Full-Trace)

조작된 패킷 한 장만 덜렁 넣는 보고서는 실무·심사에서 감점 요인이 됩니다. 취약점에 도달하는 전 과정을 순서대로 보여 줘야 합니다.

예시 (여행기 작성 필드 크기 오염): 사용자가 여행기 작성 화면에 들어가는 UI → 공격자가 프록시로 대량 변조 페이로드를 넣는 화면 → 백엔드 예외 필터를 지나 나오는 응답 패킷·스택트레이스까지, 처음부터 결과가 나올 때까지를 타임라인 순으로 쪼개어 스크린샷으로 확보해야 합니다.

② Before & After 대조

보안 성과를 보여 주는 가장 확실한 방법은 조치 전·후를 나란히 보는 것입니다. 모든 취약점 슬라이드는 아래 구조로 맞춥니다.

Before (취약): 조작된 파라미터를 보냈을 때 500 에러와 내부 민감 쿼리가 그대로 나오거나, 비인가 권한 승인이 통과되는 침투 성공 화면.
After (양호/조치 완료): 시큐어 코딩·이행 점검 필터를 적용한 뒤, 같은 공격 페이로드를 넣어도 서버에서 400 Bad Request 또는 403 Forbidden으로 막는 화면을 한 장표에 붙여, 보완이 먹혔는지 눈으로 확인하게 합니다.

4. Next Step: PPT 수정과 데모 영상 자막

세 번째 멘토링 피드백을 받아, 중간 발표 통과를 위해 슬라이드부터 다시 손봅니다.

PPT 줄이기: 텍스트를 40% 이상 줄이고, 7명 R&R을 연결한 화살표 구조도와 수동 vs 자동 스캔 시간 비교 차트를 넣습니다.
데모 영상 자막: Selenium 헤드리스가 수동 진단 과정을 따라가며 UI Replay·화면 캡처하는 시연 영상에, 단계별 동작 상태(ZAP 스캔 / Replay 캡처 / 보고서·PDF) 자막을 맞춰 넣습니다.
Before-After 이미지 정리: 28개 체크리스트 전체에 대해 [일반 유저 폼 요청 → 해커 변조 주입 → 조치 전 유출 응답 → 조치 후 안전 차단] 네 단계에 맞춰 이미지를 다시 묶습니다.