네번째 멘토링

서론

"장대현 멘토님과 네 번째 대면 멘토링을 했습니다. 지난 스프린트에서 합친 모듈을 바탕으로 스캔 엔진이 실제로 잘 동작하고 결과를 확인하기 쉽게 만들기 위한 코어 로직 수정 피드백을 받았습니다. SK쉴더스 웹/API 취약점 진단 가이드라인에 맞춰 자동 스캔 범위를 정하고, 인젝션을 단계별로 검증하는 방법과 파일 다운로드 타깃을 다듬는 방법, 다음 날 진행할 모듈 병합과 화면 캡처 기능 연결 계획을 정리합니다."

장대현 멘토님 네 번째 멘토링에서 넓게 찾고 단계별로 범위를 좁히는 탐지 방식, 28개 가이드라인의 자동·수동 진단 범위, Playwright 증적·결과서 형식과 일정을 정리했습니다.

1. 멘토링 개요

2. 멘토링 핵심 피드백 ①: 진단 엔진 보완 조치

중간 점검에서 무작위 퍼징(Fuzzing)은 줄이고, "처음에는 넓게 찾되 단계별 검증 규칙으로 실제 확인할 범위를 좁혀 가는 방식"을 플랫폼 공통 원칙으로 삼으라는 피드백을 받았습니다.

① [1-1] XSS / CSRF 공격 가능성 모듈 검증 기법 교정

• 멘토 피드백: 단순한 파라미터 대입 외에, CSRF 위협을 명확히 잡기 위해 크로스 오리진 상황에서의 토큰 유효성 및 세션 라이프사이클 분기 검증 구조를 명확히 해야 한다는 지적을 받았습니다.
• 보완 조치: ZAP의 크로스 오리진 컨텍스트 설정 기능을 활용하여 타인 권한 패킷 유입 시 세션이 명확히 분리되는지 체크하는 검증 알고리즘을 다듬습니다.

② [1-2] 삽입 (Injection) 공격 가능성 엔진 개선

• 멘토 피드백: SQL 인젝션을 탐지할 때는 무작위 페이로드 주입 결과에만 의존해서는 안 되며, 쿼리문 구조를 한 단계씩 순차적으로 쌓아가며(Step-by-step) 구문 파괴 및 DB 반응 변화 추이를 역추적해야 오탐을 줄일 수 있다는 피드백입니다.
• 보완 조치: payload_injector.py 엔진 내부에 단일 인용부호(') 주입 에러 유발 주석 처리 UNION 및 TIME_BASED 연산자 구문을 순차적으로 누적 전개하며 Baseline 패킷과의 타임 갭 변화를 추적하는 단계별 쿼리 빌딩 검증 트랙을 정리합니다.

③ [1-3] 파라미터 조작 로직의 [1-5] Reflected XSS 엔진으로의 적용

• 멘토 피드백: 임의의 히든(Hidden) 필드 조작 변수를 모든 API 상에서 자동화 스캔하는 것은 탐지 대비 리소스 낭비가 심하므로 수동 진단 트랙으로 격리하라는 지침입니다. 다만, 이미 구축된 파라미터 변조 로직을 사장시키지 말고 1-5 리플렉티드 XSS 탐지 엔진과 상호 교차 참고하여 개발하라는 대안을 정했습니다.
• 보완 조치: 1-3의 변수 변조 로직을 1-5 모듈로 넣어서, 사용자 입력값이 응답 바디(Response Body)에 그대로 반사(Reflected)되어 스크립트 실행으로 이어지는 평면을 고속 추적하는 하이브리드 반사형 fuzzer로 통합 개선합니다.

④ [1-4] SSRF / File Inclusion 자동화 스캔 영역 제외

• 멘토 피드백: SSRF나 인클루전 취약점은 도메인 사양과 내부망 인프라 환경에 따라 사용자(진단자)의 주관적 정황 판단이 필수적으로 개입되므로, 전체 자동화 시 오탐 지표가 폭발하여 신뢰도를 떨어뜨릴 우려가 크다는 지적입니다.
• 보완 조치: Day 32에서 머지해 둔 1-4 엔진 코드는 남겨 두되, 멘토링 결과 자동화 스코프에서는 당분간 제외·제한하고 모의침투 진단자가 수동 점검할 수 있도록 가이드 런북 트랙으로 둡니다.

⑤ [1-6] 입력 값 크기 및 정확성 검증 오류 기준 정리

• 멘토 피드백: 임베드된 W-1-6 퍼징 엔진의 무차별 사격 방식을 통제하기 위해, 버퍼 오버플로우나 유해 포맷 유입을 가늠할 정확하고 정형화된 차단 경계 기준(Criteria)이 정리되어야 합니다.
• 보완 조치: 데이터 타입 혼동 및 문자열 길이 상한선 기준 스펙을 SK쉴더스 가이드라인 표준 가용 예산 범위 내로 동적 제한 통제합니다.

⑥ [2-2] 중요 정보 파일 다운로드 가능성 스캔 타깃 튜닝

• 멘토 피드백: 전체 웹 디렉터리를 대상으로 Path Traversal 사전 대입을 수행하는 것은 극도로 비효율적입니다. 파일 다운로드 액션이 일어나는 특정 엔드포인트를 찍어서(Targeting) 점검해야 합니다.
• 보완 조치: 인벤토리 수집 단계에서 다운로드 유발 파라미터가 성립된 엔드포인트 위치를 우선 식별 마킹한 뒤, 해당 특정 다운로드 로케이션 대역에만 퍼징 예산을 집중 넣는 타깃 집중형 파이프라인으로 튜닝합니다.

⑦ [3-2] 인증 실패 횟수 제한 정책 임계치 강화

• 멘토 피드백 및 조치: 기존 가상 시나리오의 락아웃 임계 시도 횟수를 SK쉴더스 상위 보안 컴플라이언스 기준에 부합하도록 기존 10회에서 5회 제한 잠금 정책으로 변환하여 백엔드 검증 규칙의 엄격함을 상향 패치했습니다.

3. 멘토링 핵심 피드백 ②: SK쉴더스 가이드라인 기준 자동화 / 수동 진단 스코프 최종 픽스 (28개 지표)

멘토링 피드백에 입각하여 아르고스 통합 플랫폼에 최종 탑재 및 영속 유지할 28개 웹/API 진단 항목의 자동화(⭕) 및 수동 점검(△) 매핑 스펙을 다음과 같이 명확히 획정했습니다.

• '검색엔진 정보 노출(3-5)' 등 정적 저장 모듈의 판정 근거: 인벤토리 트리 검증 시 왜 해당 탐지 기법을 썼고 왜 양호/취약 결과가 도출되었는지 진단자가 직관적으로 파악할 수 있도록, 대시보드 리포트 패널 내부에 파싱 성공율 분기 및 메타 태그 존재 증적 스트링을 명확한 판정 근거 텍스트로 보완 적재하도록 백엔드를 수정했습니다.

4. 멘토링 핵심 피드백 ③: 스크린샷 & 결과서

① Playwright 기반 실시간 증적 스크린샷 캡처 자동화 모듈 (screenshot/)

진단 과정의 투명성과 시각적 컴플라이언스 준수를 증명하기 위해, 진단자가 대시보드 상에서 증적 캡처 모드를 유연하게 선택할 수 있도록 인터페이스를 정비합니다.

• 과정(Process) 캡처 모드: 공격 페이로드가 유입되어 실행되는 동적 스캔 라이프사이클 트래픽 처리 과정을 단계별 덤프 이미지로 캡처합니다.
• 결과(Result) 캡처 모드: 취약점 익스플로잇이 최종 성공하여 리턴된 화면(예: XSS 팝업 발생 시점, 403 거부 패널 렌더링 화면 등)의 최종 결함 증적 상태 마스터 스크린샷 한 장을 아카이빙합니다.

② 보조 도구 성격의 정형화 리포트 결과서 생성기 (report/)

발견된 결함을 종합 보고서 형태로 일괄 덤프할지, 혹은 취약점 클래스별 독립 결과서 파일로 분리 바인딩할지에 대한 최종 설계 스펙을 정했습니다. 진단 보조 도구로서의 실효성을 극대화하기 위해 각 개별 취약점 섹션 리포트는 SK쉴더스 표준 양식에 맞춰 아래의 네 개 핵심 정보 콘텐츠 뷰를 의무 구조화하여 출력합니다.

1. 문제점 (취약점 위치): 정확히 어떤 컴포넌트의 엔드포인트 파라미터 영역이 취약한지 명시합니다.
2. 테스트 재현 경로 (PoC): 수동 모의침투 진단자가 동일 결함을 재현 및 검증해 볼 수 있는 상세 대입 패킷 가이드를 기술합니다.
3. 증적 화면 (Evidence): 캡처 모듈을 통해 포착된 취약점 증빙 스크린샷 파일 및 증적 패킷 본문을 바인딩 표출합니다.
4. 대응 방안 (Remediation): SK쉴더스 보안 가이드라인에 명시된 시큐어 코딩 표준 소스코드 및 인프라 보안 패치 조치 지침을 넣습니다.

5. 변경된 프로젝트 마일스톤 및 일정 계획 (Timeline)

기술 멘토링 피드백 반영 및 팀원 개발 모듈 브랜치 최종 머지 일정 조율에 따라 최종 완료 단계까지의 프로젝트 마일스톤 일정을 다음과 같이 전반 수정 픽스했습니다.

[아르고스(Argus) 플랫폼 최종 완성 마일스톤 타임라인]

스프린트 1: 플랫폼 통합 및 검색엔진 연동 마감
  └── ~ 7/7 : 1-1, 1-6을 포함한 검색엔진 코어 병합 완료 및 Staging 형상 안정화
  └──   7/9 : 루키즈 채용특강 세션 (개발 일시 정지 및 취업 역량 강화 세션)

스프린트 2: 실시간 스크린샷 증적 캡처 모듈 빌드
  └── 7/9  ~ 7/11 : Playwright Headless 기반 과정/결과 선택형 화면 캡처 엔진 단독 코딩 완료
  └── 7/12         : screenshot/ 하부 28개 통제 가이드라인 규격 통합 완료

스프린트 3: 결과서 생성기 빌드 및 최종 상용 배포 파이프라인 전개
  └── 7/13 ~ 7/14 : SK쉴더스 표준 규격 4대 팩터 바인딩 결과서 생성기 구현 및 풀스택 전체 통합
  └── 7/15 ~ 7/16 : 프로ד션 인프라 및 서버 배포 아키텍처 실행 + 최종 평가용 발표 PPT 자산 빌드
  └── 7/17         : [중대 지표] SK쉴더스 루키즈 최종 5차 기술 멘토링 평가 세션 전개

스프린트 4: 최종 시연 개선 및 런칭 마감
  └── 7/18 ~ 7/22 : 분산 인프라 및 실서버 배포 튜닝 + 플랫폼 구동 취약점 자동 진단 최종 시연 영상 제작 및 마감

6. 다음 작업: 멘토링 피드백 반영과 검증 규칙 수정

다음 작업은 오늘(7월 7일)까지 이어서 진행하는 '멘토링 피드백 반영 스캔 엔진 코어 로직 수정과 통합'입니다. 단순히 브랜치만 합치는 데서 끝내지 않고, 피드백에서 나온 "처음에는 넓게 찾고 단계별 규칙으로 좁혀 간다"는 원칙을 각 스캔 엔진 모듈의 코드에 반영합니다.