[보안이야기#15]정보보안 직무-모의해킹

안녕하세요 보안코치 제로썬이에요 :)

 

취약점 진단 전문가 업무와 진단 가이드에 대해 알아보는 시간을 가져봤구요~!!(못 보신 분들은 아래 링크로 보고 와주세요^^)

https://zerotrust.tistory.com/41

[보안이야기#14]정보보안 직무-취약점 진단

 

취약점 진단과 모의해킹을 많이 혼용해서 쓰거나 헷갈려하시는 분들이 계시는데요.

오늘은 모의해킹는 어떤 관점과 어떻게 접근하는지 알아볼거에요~

 

모의 해킹

정보자산에 대해 다양한 해킹 도구/기법을 활용하여 시스템 침투가능성을 진단하는 전문가

모의해킹은 크게 두가지 관점으로부터 접근하게 되는데요.

1. 해커(공격자) 관점으로 시나리오 기반으로 침투를 한다.

2. 공격 시나리오를 통해 실제 침해사고 위협 요소와 피해까지 도출하는 것까지 한다.

 

모의해킹 종류는 다음과 같아요

블랙박스, 화이트박스, 그레이박스 테스트

블랙박스 테스트

• 원격적에서 네트워크 인프라를 평가하는 외부 테스트한다.
• 내부에 어떤 보안 기술이 있고, 침투를 할 수 있는 모든 방향을 가지고 대상 시스템을 테스트를 한다.
• 테스트 오나료 후 위험 요소를 분루 후 담당자, 경영진 등이 이해할 수 있는 수준으로 표현한 보안 결과보고서를 제출한다.
• 대상의 현실적인 보안 상태와 취약성 분류, 인지된 위험들의 비지니스 연관성과 관련된 모든 필요한 정보를 포함한다.

화이트박스 테스트

• 대상에 사용된 모든 내부 기술, 기반되는 기술을 알고 있는 상태에서 최소한 노력과 정확성을 가진 취약점을 평가하는 내부 테스트를 말한다.
• 개발 과정에 쉽게 통합되어 외부 침투자에 의해 취약점이 발견되고 이용되기 전에 보안 이슈를 제거할 수 있다.
• 블랙박스 테스트보다 많은 정보 이용하여 침투 가능성이 있는 포인트를 알고 접근하기 때문에 블랙박스 테스트보다 얻는게 많다.

그레이박스 테스트

• 블랙박스 테스트와 화이트박스 테스트를 결합하여 외부와 내부 보안관점을 모두 접근할 수 있는 테스트를 말한다.
• 보안 감사자는 시스템 전체적인 보안 평가를 할 경우 시스템의 내부정보를 제한적으로 제공 받는다.
• 블랙 박스 테스트와 유사한 형태인 외부 테스트 방식으로 테스트를 수행한다.

 

모의해킹 절차

모의해킹 절차

모의해킹 절차는 다음과 같아요.

1. 점검 대상을 파악한다.

2. 다양한 관점, 도구, 방법를 이용하여 취약점을 발굴한다.

3. 보안장비를 우회한다.

4. 내부 침투를 시도한다.

5. 시나리오 기반으로 공격을 다양하게 침투하여 피해유무, 위협요소 등을 도출까지 한다.

 

모의해킹과 취약점 진단 차이점

결국 모의해킹은 어떻게 해서든 대상 시스템을 침투해서 피해유무까지 도출하는 것을 목표를 두고 있는것이죠.(침투 시나리오 기반으로 말이죠) 하지만  취약점 진단은 취약점 진단하여 위험도, 피해규모를 평가합니다. 어떻게요? 체크리스트 기반으로 위험도를 평가하고 위험을 낮추기 위함이에요.

모의해킹과 취약점 진단이 비슷한 부분은 결국 위험, 위협 요소로부터 취약점을 제거하여 사전에 예방하는 것은 동일합니다.

그렇기 때문에 무엇이 더 좋다 안좋다보다 상황, 현황에 따라 취약점 진단과 모의해킹을 적절하게 하는것이 좋지 않을까요?!

모의해킹과 취약점 진단에 대한 차이점을 소개 해준 블로그, 글들이 있으니 해당 내용도 참고 해보시구요.!!

 

오늘도 수고 많으셨어요! 좋은 하루 되시길 바랍니다. :)