Pentest Checklist

6개의 표준 단계를 모두 다룹니다: 사전 준비(범위, ROE, 허가, 일정), 정찰(OSINT, DNS 열거, 이메일 수집, Google 도킹), 스캐닝 및 열거(포트 스캐닝, 취약점 스캐닝, SSL/TLS 분석), 익스플로잇(웹 공격, 네트워크 공격, 권한 상승, 무선), 사후 익스플로잇(지속성, 횡적 이동, 데이터 유출, 자격증명 수집), 보고서 작성(임원 요약, CVSS 등급, 개선 권고).

허가 문서 — 자산 소유자로부터의 서면 허가 — 가 가장 중요한 단일 항목입니다. 서면 허가 없이는 대부분의 법적 관할권에서 의도에 관계없이 침투 테스트 활동이 불법입니다. 범위 정의와 교전 규칙(ROE) 문서도 어떤 시스템을 테스트할 수 있는지, 어떤 행동이 허용되는지를 정확히 정의하는 데 똑같이 필수적입니다.

Google 도킹은 고급 Google 검색 연산자를 사용해 대상 조직이 공개적으로 노출하려 하지 않은 정보를 찾는 것을 말합니다. site:(도메인 제한), filetype:(특정 파일 타입 검색), inurl:(특정 URL 패턴 검색) 등의 연산자가 있습니다. 검색 엔진에 인덱싱된 노출된 설정 파일, 로그인 페이지, 민감한 문서를 찾는 데 활용됩니다.

익스플로잇은 테스터가 시스템 침해를 시도하는 활성 공격 단계입니다: 패스워드 공격, 웹 애플리케이션 공격(SQLi, XSS, SSRF), 네트워크 공격(MITM, ARP 스푸핑), 소셜 엔지니어링. 사후 익스플로잇은 초기 접근권 획득 후 일어나는 것을 다룹니다: 지속성 확립, 다른 시스템으로의 횡적 이동, 자격증명 수집, 도메인 관리자 권한 상승, 데이터 유출 능력 시연.

테스트 중 침투 테스터는 백도어 설치, 테스트 계정 생성, 도구 업로드, 설정 변경을 수행합니다. 이 모든 흔적은 업무 종료 전에 제거되어야 합니다. 정리 확인은 모든 테스트 흔적이 제거되고 대상 환경이 테스트 전 상태로 복원되었음을 확인합니다. 백도어나 테스트 계정을 남겨두면 고객에게 실제 보안 위험을 초래합니다.

CVSS(공통 취약점 등급 시스템)는 취약점 심각도를 0~10 척도로 평가하는 업계 표준 프레임워크입니다. 침투 테스트 보고서에 CVSS 점수를 포함하면 각 발견 사항에 대해 객관적이고 벤더 중립적인 심각도 등급을 제공해 고객이 개선 작업의 우선순위를 정하는 데 도움이 됩니다. 점수는 공격 벡터, 공격 복잡성, 필요 권한, 사용자 상호작용, 기밀성/무결성/가용성에 대한 영향을 고려합니다.

네, 적응이 필요하지만 사용 가능합니다. 버그 바운티 프로그램에는 정의된 범위(일반적으로 도메인이나 API 세트)와 전통적인 침투 테스트와 다른 엄격한 규칙이 있습니다. 예를 들어 대부분의 프로그램은 지속성이나 횡적 이동 같은 사후 익스플로잇 활동을 금지합니다. 정찰, 스캐닝 및 열거, 익스플로잇 단계를 지침으로 활용하되, 어떤 활동을 수행하기 전에 특정 프로그램의 규칙을 항상 확인하세요.

아니요. 도구는 순수 브라우저 기반이며 현재 세션 동안만 상태를 유지합니다. 페이지를 새로 고치면 모든 체크박스가 초기화됩니다. 업무 전반에 걸친 지속적인 추적을 위해서는 페이지를 PDF로 인쇄하거나 매일 테스트 종료 시 스크린샷을 찍어 진행 상황을 기록하세요.