웹·API 모의해킹

ISMS-P 심사 대비

인증기준 중 취약점 점검과 조치에 필요한 진단 결과, 개선 권고와 재점검 이력을 심사 준비 자료로 정리합니다.

개인정보보호법 관련 점검

「개인정보 보호법」과 「개인정보의 안전성 확보조치 기준」을 고려해 접근권한·인증·암호화·접속기록 등 해당 기술 항목을 점검합니다.

전자금융 관련 사전 점검

전자금융 서비스의 웹·API 취약점을 확인하고, 보안 요구사항에 따른 보완 과제를 정리합니다.

주요정보통신기반시설 가이드

KISA 「주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」에서 대상 시스템에 해당하는 기술 점검 항목을 진단 범위에 반영합니다.

기술 진단과 점검 자료 작성을 지원합니다. 인증 심사나 법정 평가가 필요한 경우에는 적용 기준과 수행기관 요건을 먼저 확인합니다.

인증과 세션

로그인·로그아웃, 비밀번호 변경, 토큰 갱신과 만료가 정해진 정책에 따라 동작하는지 확인합니다.

객체와 기능의 접근 권한

다른 사용자의 데이터 접근(BOLA/IDOR), 조직 간 정보 분리, 일반 사용자와 관리자의 권한 경계를 검증합니다.

입력과 업무 절차

입력값·업로드 파일의 처리와 보안 설정을 점검합니다. 요청 순서나 값을 바꿨을 때 업무 규칙이 우회되는지도 확인합니다.

사전 준비사항

대상 URL·API 목록, 주요 기능과 사용자 역할, 역할별 테스트 계정이 필요합니다. 준비가 필요한 항목은 상담을 통해 안내합니다.

범위·일정·견적

대상 기능과 계정 수, API 범위, 희망 일정을 검토해 견적을 제안합니다. 진단 대상과 제외 항목은 착수 전에 확정합니다.

운영 영향

승인된 대상만 점검합니다. 운영·테스트 환경과 시간대, 허용되는 요청, 중단 기준을 사전에 협의합니다.

결과 설명

재현 조건과 수정 방향을 개발 담당자에게 설명합니다. 설명 방식과 참석자는 착수 전에 정합니다.

재검증

재검증 항목·시점·횟수는 견적 협의 시 확정합니다. 이후 추가되는 기능이나 점검 범위는 별도로 협의합니다.