개발에 종사하다보니, 특히 솔루션 납품을 하다보니
보안성 심의라는 탈을 쓴 모의해킹에 많이 노출당합니다.
당연히 갑사쪽에서는 그런 취약점들을 죄다 막고싶어하죠.
물론 아무리 대기업이라 해도 모의해커들이 아주 전문적인 해커는 아니고,
안_이나 인_섹 같은데서 나온 사람들이죠. 물론 그래도 툴 하나는 기깔나게 돌리고,
유명한 공격 방법으로 잡아낼건 다 잡아냅니다. 새로운걸 안 해서 그렇죠. 걔네들도 일이 많으니..
뭐 여튼, 툴을 돌린다지만 metasploit, fortify이나 같은 블랙박스 진단 도구로부터 appscan같은 화이트박스 진단 도구, 요즘은 그 두가지를 병행하는 그레이박스 진단도구까지 나오고 있습니다. 무슨 해커들보다 고도로 자동화된 해킹툴이 더 무서울 때도 있어요 ㄷㄷㄷ.
문제는 툴을 제대로 알기 위해서는 네트워크가 어떻게 움직이는지 알아야 한다는거죠.
OSI 구조와 TCP/IP, 그리고 기타 수많은 프로토콜들을 익혀야 합니다.
그 다음엔? OS와 각종 라우터, NAC, 방화벽, DMZ 등 각종 유 무형의 보안장비들에 대해 알아야합니다.
요즘은 이런 장비들도 좋아져서 대부분의 공격(XSS, 멀웨어 등)은 NAC 단에서 걸러버리는 경우가 허다하거든요.
그 다음이 가장 핫한 http 베이스 공격입니다. 패킷 위 변조, injection(유행 좀 지났죠), XSS(여전히 방구 좀 끼시는 해킹법입니다.), APT, webshell 등.. 그런데 이런걸로 털만한건 웹 사이트를 운영하는 데니까, 필연적으로 범죄랑 직결되죠. 모의해커들이 가장 중점적으로 체크하는곳도 이곳입니다. 요걸 이해하려면 IIS, Apache, RDBMS 등등 웹을 구동하는 모든 컴포넌트들에 대해 알아야 합니다.
exploit code 한 두줄 유닉스 콘솔에 깨작 집어넣어서 root 따던 시절은 솔직히 옛날 이야깁니다. 그나마 유사한게 웹셸인데, 저같은 사람들이 하는 일이 그런거 못하게 막는거고, owasp같은 단체에서도 눈에 불을 키고 취약점을 잡아내고 있습니다. (vendor들은 더할 나위가 없죠)
심지어 작년 이슈가 되었던 heartbleed 같은 경우도 진짜 콩딱지만한 패킷 일부분만 갖고와서 그걸 모으고 모아서 겨우 하나의 토큰 만드는 정도에요.
(물론 그게 SSL 전체를 파괴할 hole이 될 수 있었기 때문에 이슈가 크게 되었지만)
쉽지가 않습니다. 책 한권 보면 해킹의 달인이 된다거나 뭐만 공부하면 다 된다거나 이런거 없어요.
그러니까, 그냥 보안의 정도를 걸으세요. 세상에 쉬운건 하나도 없습니다. 그리고 가급적이면, 그걸 양지에서 활용해 주세요.
글쓰기