VAPT란: 취약점 진단과 침투 테스트

인도에서 'VAPT'는 보안 테스트를 가리키는 일상적인 용어입니다. 고객, 파트너, 감사인, 규제 대상 거래 상대방은 계약 체결, 연동 연결, 출시 승인 전에 'VAPT 보고서'를 요청하는 경우가 많습니다. 이 용어는 두 가지 활동을 결합한 것입니다. 알려진 약점을 폭넓게 찾는 취약점 진단과, 그러한 약점이 악용될 수 있는지 깊이 검토하는 침투 테스트입니다. 이 가이드는 VAPT 업무가 일반적으로 다루는 내용, 합리적으로 범위를 정하는 방법, 결과를 공유하기 전에 확인해야 할 사항을 설명합니다.

무엇인가

취약점 진단(VA) 부분은 폭넓습니다. 자동 스캔과 검토를 결합해 합의된 자산 전반에서 누락된 패치, 오래된 구성 요소, 노출된 서비스, 취약한 설정, 흔한 웹 문제를 식별합니다. 침투 테스트(PT) 부분은 깊이 있습니다. 테스터가 선정된 대상(일반적으로 웹 애플리케이션, API, 모바일 앱)을 수작업으로 다루며, 발견 사항을 검증하고 인증, 세션 처리, 역할 간 접근 제어, 데이터 노출, 비즈니스 로직을 테스트합니다. VA는 커버리지를, PT는 실제로 악용 가능한 것에 대한 확신을 제공합니다. VAPT 업무는 범위, 방법, 증거가 포함된 심각도별 발견 사항, 조치 지침, 그리고 합의된 경우 수정 후 재테스트 결과를 기록한 서면 보고서로 마무리되어야 합니다. 요청에는 OWASP Top 10이나 OWASP Mobile Application Security 지침 같은 프레임워크가 언급되기도 합니다. 이는 테스터가 살펴보는 항목에 대한 유용한 참고 기준입니다.

누구를 위한 것인가?

VAPT는 일반적으로 다음과 같은 주체가 요청하거나 이들을 위해 요청됩니다.

조달 과정에서 기업 고객으로부터 최신 VAPT 보고서를 요청받는 SaaS, 핀테크, 이커머스 팀
연동 전에 보안 테스트 증거를 요구하는 파트너, 은행 또는 결제 업체와 연결하는 기업
웹 또는 모바일 애플리케이션의 공개 출시를 준비하는 제품 팀
호스팅, 인증 또는 결제 흐름을 변경하고 독립적인 점검을 원하는 조직

무엇을 명확히 하는 데 도움이 되는지

범위를 잘 정한 VAPT는 다음을 명확히 하는 데 도움이 됩니다.

요청자가 실제로 테스트되기를 기대하는 애플리케이션, API, 환경
요구 사항이 업체 선정 전에 확인해야 할 특정 유형의 감사인이나 인가를 명시하고 있는지
어떤 발견 사항이 검증된 리스크이고 어떤 것이 스캐너의 관찰 사항인지
보고서를 자신 있게 공유하기 전에 어떤 조치가 이루어져야 하는지

포함된 내용

요청자로부터 정확한 요구 사항을 서면으로 받기: 자산, 깊이, 보고서 형식, 업체 기준
대상 목록 작성: 도메인, 애플리케이션 URL, API 기본 경로, 모바일 앱 빌드, 환경(스테이징 또는 운영)
접근 제어 테스트가 의미 있도록 사용자 역할별 테스트 계정 준비
서면 승인, 테스트 기간, 지정 연락처, 중단 조건 확인
약관상 필요한 경우 호스팅, CDN 또는 WAF 업체에 통지
심각도 등급, 보고서 형식, 증거 공유 방법 합의
발견 사항 수정 시간을 확보하고 합의된 문제의 재테스트 요청

포함되지 않은 것

VAPT로 애플리케이션이 안전해지거나 규정을 준수하게 된다는 진술
특정 인가 또는 등록 요건과 대조하지 않고 업체가 그 요건을 충족한다는 주장
소유자의 허가 없는 제3자 시스템 테스트
특정 규정이 무엇을 요구하는지에 대한 법률 또는 규제 자문

선택해야 할 때

특정 거래 상대방이 요청할 때, 중요한 출시 전, 또는 사용자의 로그인, 결제, 데이터 접근 방식을 크게 변경한 후에 VAPT를 의뢰하십시오. 규제가 관련된 거래 관계에서 온 요청이라면 요구 사항을 주의 깊게 읽으십시오. 인가되거나 등록된 감사인(인도에서는 일부 규제 기관과 거래 상대방이 CERT-In 등록 감사인을 언급합니다), 특정 범위, 정해진 테스트 주기를 명시할 수 있습니다. 요구 사항에 맞지 않는 보고서는 다시 작성해야 할 수 있으므로, 먼저 요청자에게 세부 사항을 확인하십시오. 이 글은 일반 정보이며 법률 또는 규제 자문이 아닙니다.

우리의 접근 방식

요청자의 체크리스트를 출발점으로 삼되, 아무도 묻지 않았더라도 귀사의 비즈니스에 가장 큰 리스크를 지닌 시스템을 추가하십시오. 가능하면 운영 환경을 반영한 스테이징 환경에서 테스트하고, 운영 환경 테스트가 필요한 경우 처리 방법을 사전에 합의하십시오. 당사의 Application Security Review는 심각도별 서면 발견 사항과 조치 지침을 제공하는 웹 애플리케이션 및 API 테스트를 다룹니다. 여러 환경이나 네트워크를 포함하는 더 넓은 범위는 당사의 Penetration Testing 서비스에서 다룹니다. 두 경우 모두 작업 시작 전에 범위, 승인, 보고 방식을 서면으로 확인합니다. 결과물 전달 후에는 높음 및 치명적 발견 사항부터 수정하고, 수용한 리스크에 대한 결정을 기록한 뒤 재테스트를 요청하십시오. 그런 다음 요청자가 그 수준의 세부 정보를 특별히 필요로 하고 이를 안전하게 받을 방법이 있는 경우가 아니라면, 기술 보고서 전체 대신 경영진 요약이나 조치 현황 확인서를 공유하십시오.

Application Security Review

Application Security Review 서비스 페이지 보기