웹사이트 하드닝은 운영 중인 웹사이트나 웹 애플리케이션의 구성과 보호 설정을 개선하여 피할 수 있는 노출을 줄이는 실무 작업입니다. 합의된 영역에서 피할 수 있는 노출을 줄이며, 사이트의 지속적인 관리와 함께 운영되도록 설계되었습니다. 기본 설정, 오래된 플러그인, 구버전 PHP, 바뀐 호스팅 방식, 서두른 출시 결정 등으로 WordPress, PHP 및 기타 웹사이트에 누적되는 일반적인 약점을 집중적으로 다루는 방법입니다. 그 결과 무엇을 변경했는지, 무엇이 범위 밖에 남아 있는지, 담당 팀이 무엇을 모니터링해야 하는지에 대한 결정이 문서화된, 더 명확하고 의도적인 구성을 얻게 됩니다.
무엇인가
웹사이트 하드닝 계약은 공개 사이트나 애플리케이션을 둘러싼 합의된 기술 설정을 검토하고 개선합니다. 범위는 서면으로 확정되며 HTTP 보안 헤더, TLS 및 쿠키 설정, 인증 관련 통제, 서버 또는 플랫폼 구성, 노출된 관리자 경로, 제3자 스크립트, 기본적인 업데이트 체계 등을 포함할 수 있습니다. 목표는 합의된 범위 전반에서 일반적이고 피할 수 있는 노출 경로를 줄이고, 각 관찰 사항을 증거로 뒷받침하는 것입니다. 확정된 접근 권한 안에서 당사 팀은 합의된 변경을 적용하고 각 변경을 서면 변경 전후 기록에 남기며, 귀사의 개발자, 호스팅 업체 또는 CDN 공급업체가 처리해야 하는 항목은 그들을 위해 문서화합니다. 책임 경계는 작업 시작 전에 확정됩니다. 하드닝은 사이트가 평가할 수 있을 만큼 안정적이고, 관련 담당자가 의도된 동작을 확인할 수 있으며, 변경 사항을 배포 전후에 테스트할 명확한 방법이 있을 때 가장 유용합니다.
누구를 위한 것인가?
웹사이트 하드닝은 다음과 같은 기업에 적합합니다.
- 고객용 양식, 계정, 결제 또는 기타 핵심 업무 기능을 갖춘 공개 웹사이트나 웹 애플리케이션을 운영하는 기업
- 이전 검토, 스캔 또는 내부 체크리스트에서 실질적인 후속 조치가 필요한 구성 항목이 확인된 기업
- 출시, 재출시 또는 호스팅 이전을 준비하면서 검토되지 않은 기본값에 대한 의존을 줄이고 싶은 기업
- 주요 보안 설정의 담당자를 두고 제품, 개발, 마케팅, 호스팅 팀 간의 인계를 더 명확히 해야 하는 기업
무엇을 명확히 하는 데 도움이 되는지
하드닝 계약은 다음 사항을 명확히 하는 데 도움이 됩니다.
- 합의된 구성상의 약점 중 현재 노출된 것은 무엇이며, 웹사이트 경계 안에서 해결할 수 있는 것은 무엇인지
- 어떤 변경이 간단하고, 분석 도구, 임베드, 로그인 흐름 또는 기타 사이트 동작에 영향을 줄 수 있어 결정이 필요한 변경은 무엇인지
- 제3자 스크립트, 호스팅 통제 또는 관리자 접근에 더 명확한 담당자나 별도의 검토가 필요한 부분
- 무엇이 변경되었거나 권고되었는지, 무엇에 아직 후속 조치가 필요한지, 어떤 항목이 미해결로 남아 있는지
포함된 내용
- 포함되는 사이트, 도메인, 환경 및 구성 영역에 대한 범위의 서면 확정
- 범위 내 플러그인, HTTP 헤더, TLS 및 쿠키 설정, 인증 관련 통제, 제3자 스크립트, 플랫폼 또는 서버 설정을 포함한 합의된 WordPress, PHP 또는 기타 사이트 구성의 검토
- 항목별 실질적인 이유를 설명한 관찰 사항 및 제안 변경 목록 문서
- 합의된 구성 변경의 승인된 적용과 서면 변경 전후 기록
- 합의된 변경의 기본 검증과 작업 중 발견된 기능상의 절충점에 대한 논의
- 인계, 남은 담당 범위, 합리적인 다음 조치를 논의하는 1회의 검토 통화
포함되지 않은 것
- 침투 테스트, 능동적 취약점 악용 또는 가능한 모든 취약점을 찾겠다는 약속
- 규정 준수 인증, 감사 승인 또는 사이트가 모든 법적·업계 요건을 충족한다는 확언
- 계약 종료 후의 지속적인 모니터링, 사고 대응 또는 상시 관리
- 합의된 범위에 기재되지 않은 도메인, 시스템, 플러그인 또는 연동에 대한 검토
- 별도로 범위를 정하지 않는 한 애플리케이션 수준의 코드 검토, 결제 흐름 검토 또는 더 광범위한 제품 보안 작업
선택해야 할 때
알려진 구성상의 우려가 있거나, 출시 준비에 집중된 필요가 있거나, 통제된 변경으로 전환해야 할 명확한 기존 발견 사항이 있을 때 웹사이트 하드닝을 선택하십시오. 기준선 검토, 취약점 스캔 또는 플랫폼 이전 이후의 합리적인 다음 단계인 경우가 많습니다. 여러 공급업체가 사이트를 관리해 와서 어떤 기본값이나 스크립트가 여전히 사용 중인지 아무도 확신하지 못할 때에도 적절할 수 있습니다. 핵심 질문이 아직 명확하지 않다면 Security Baseline Review로 시작하여 구성 작업과 더 광범위한 접근, 코드 또는 프로세스 문제를 구분하십시오. 하드닝은 변경에 합의하기 전에 기업이 사이트 담당자, 기술 담당자, 허용 가능한 테스트 기간을 지정할 수 있을 때 가장 효과적입니다.
우리의 접근 방식
당사는 사이트 경계와 작업 방식을 서면으로 정하는 것부터 시작합니다. 개요서에는 도메인, 환경, 구성 영역, 접근 요건, 변경 책임이 명시됩니다. 변경은 그 확정이 이루어진 후에 적용합니다. 제3자 스크립트의 동작을 바꾸는 엄격한 브라우저 정책처럼 기능에 영향을 줄 수 있는 변경의 경우, 진행 전에 그 절충점을 설명합니다. 합의된 변경은 범위의 실질적인 한도 안에서 검증하며, 무엇이 적용되었고, 보류되었고, 다른 담당자에게 남겨졌는지 기록합니다. 코드 수준의 약점, 공급업체 위험 또는 더 넓은 보안 문제를 시사하는 우려를 발견하면 합의 없이 작업을 확장하지 않고 관찰 사항으로 문서화합니다. 인계 문서는 귀사의 개발, 호스팅 또는 내부 운영 팀이 긴 보안 전문 용어 목록을 해석하지 않고도 결과를 이해할 수 있도록 작성됩니다.
자주 묻는 질문
관련 기사
시작하기
웹사이트 설정을 더 의도적으로 관리할 준비가 되셨습니까?
범위는 결제나 계약 전에 서면으로 확정됩니다. 간단한 요청으로 시작하시면 집중적인 웹사이트 하드닝이 현재의 사이트, 일정, 담당 체계에 맞는지 함께 확인해 드립니다.
웹사이트 하드닝 상담 요청하기