보안 감사
애플리케이션은 잘 작동하지만, 안전하게 보호되고 있을까요?
무엇이 위험한지, 무엇부터 고쳐야 하는지, 비용이 얼마인지 알 수 있습니다.
Claude, ChatGPT, Lovable, WordPress만 있으면 누구나 애플리케이션이나 웹사이트를 만들 수 있습니다. 이런 도구는 작동하게 만드는 데 집중합니다. 보안은 덜 신경 씁니다.
같은 취약점이 자주 반복됩니다. 페이지에 그대로 보이는 API 키를 누군가 고객님의 비용으로 사용합니다. 누구나 읽을 수 있는 데이터베이스도 있습니다. 사용자가 적을 때는 아무 일도 없습니다. 하지만 수익이 나기 시작하면 해커가 몰려듭니다.
애플리케이션 전체를 살펴보고 무엇을 고쳐야 하는지 알려 드립니다
먼저 이런 애플리케이션 대부분에서 발견되는 취약점부터 살펴봅니다. 그다음 계정, 데이터, 결제, AI 등 고객님의 애플리케이션만의 부분을 확인합니다.
가장 급한 것부터 정리한 간단한 보고서를 받아 보실 수 있습니다. 문제마다 위험과 해결 방법을 알려 드립니다. 수정은 사용하시는 AI로 직접 하셔도 되고, 제게 맡기셔도 됩니다.
- AI로 만든 애플리케이션, WordPress 사이트, 서버
- 제대로 숨겨지지 않은 API 키와 비밀번호
- 누구나 볼 수 있는 고객 데이터
- 결제, 계정, 관리자 권한
- 읽기 쉬운 보고서와 해야 할 수정 사항
점검 항목
가장 자주 발견되는 취약점입니다.
키와 비밀번호
페이지에 노출된 API 키(OpenAI, Claude, Stripe 등): 다른 사람이 사용하고, 비용은 고객님이 냅니다.
고객 데이터
누구나 읽거나 수정할 수 있는 데이터베이스(Supabase, Firebase 등).
계정과 접근 권한
다른 고객의 데이터를 볼 수 있는 고객, 또는 누구에게나 열려 있는 관리자 페이지.
결제
결제를 우회해 돈을 내지 않고 서비스를 이용할 수 있는 경우.
AI 에이전트와 도구
권한이 너무 많은 AI 에이전트, 또는 악의적인 메시지에 넘어갈 수 있는 에이전트.
서버와 버전
업데이트되지 않은 소프트웨어, 또는 존재하지 않는 백업.
진행 방식
1. 화상 통화로 애플리케이션을 보여 주시면 됩니다
2. 견적서와 서명하실 승인서를 보내 드립니다
3. 아무것도 변경하지 않고 점검합니다
4. 보고서를 전달해 드리고 함께 살펴봅니다
5. 원하시면 제가 직접 취약점을 수정해 드립니다
아직 궁금한 점이 있으신가요?
궁금한 점에 모두 답해 드립니다.
-
개발자가 아닌데, 보고서를 이해할 수 있을까요?
네, 그렇게 쓰인 보고서입니다. 문제마다 결과와 함께 쉽게 설명합니다. 수정 내용을 복사해 애플리케이션을 만든 AI에게 그대로 전달하셔도 됩니다.
-
애플리케이션 접근 권한을 드려야 하나요?
일부는 아무런 접근 권한 없이 진행합니다. 더 깊이 살펴보려면 코드와, 있다면 데이터베이스를 읽어야 합니다. 감사 중에는 아무것도 변경하지 않습니다.
-
왜 서면 승인이 필요한가요?
소유자의 동의 없이 사이트의 보안을 테스트하는 것은 선의라도 금지되어 있습니다. 승인서에는 제가 확인할 수 있는 범위가 적혀 있습니다. 승인서는 우리 둘 모두를 보호합니다.
사이트가 호스팅 업체에 있다면, 그 업체에도 알려야 하는지 말씀드립니다.
-
사이트가 해킹당했는데, 도와주실 수 있나요?
네. 먼저 긴급 조치를 합니다. 공격을 멈추고, 사이트를 정리하고, 해커가 들어온 취약점을 막습니다. 그렇지 않으면 몇 주 뒤에 다시 들어오는 경우가 많습니다.
그다음 감사로 다른 취약점이 없는지 확인합니다.
-
모의 해킹도 하시나요?
네, 감사만으로 부족할 때 진행합니다. 모의 해킹에서는 해커처럼 실제로 사이트에 침투를 시도합니다. 무엇을 언제 테스트할지는 미리 서면으로 정합니다.
고객님의 고객에게 불편을 주지 않도록 보통 사이트 사본에서 진행합니다.
-
감사 이후에는요?
사용하시는 AI로 직접 수정하셔도 되고, 제가 맡을 수도 있습니다. 애플리케이션을 크게 업데이트한 뒤 다시 점검해 드릴 수도 있습니다. 새로운 취약점은 대개 그때 생깁니다.