침투 테스트는 허가된 모의 공격입니다. 고객은 테스트 담당자를 고용하여 자사 시스템, 네트워크 또는 애플리케이션에 침입합니다. 테스트 담당자는 실제 공격자와 동일한 기법(정찰, 취약점 악용, 권한 상승, 측면 이동)을 사용합니다. 차이점은 허가와 문서화입니다. 모든 과정은 정해진 범위 내에서, 참여 규칙에 따라, 그리고 서명된 계약서에 따라 진행됩니다. 테스트가 완료되면 고객은 발견된 사항과 해결 방법을 자세히 설명하는 보고서를 받게 됩니다.

침투 테스트는 여러 유형으로 나뉩니다. 블랙박스 테스트는 테스트 담당자에게 사전 정보를 제공하지 않아 외부 공격자의 상황을 모방합니다. 화이트박스 테스트는 소스 코드와 아키텍처에 대한 완전한 접근 권한을 제공하여 더욱 심층적인 취약점을 찾아냅니다. 그레이박스 테스트는 그 중간에 위치합니다. 웹 애플리케이션 테스트는 SQL 인젝션, 크로스 사이트 스크립팅(XSS), 인증 취약점에 초점을 맞춥니다. 네트워크 테스트는 방화벽, 네트워크 세분화, 노출된 서비스를 조사합니다. 소셜 엔지니어링 테스트는 피싱 및 가장 행위를 통해 개인을 대상으로 합니다. 침투 테스트는 특정 시점의 취약점을 찾아내는 스냅샷과 같습니다. 지속적인 모니터링이나 안전한 개발을 대체하는 것이 아니라, 방어 체계가 제대로 작동하는지 검증하거나, 작동하지 않는 부분을 보여주는 역할을 합니다.

침투 테스트 유형

• 블랙박스 — 사전 지식 없음, 외부 관점
• 화이트박스 — 완벽한 접근 권한, 더욱 심층적인 분석
• 그레이박스 — 부분적 지식, 현실적인 균형
• 웹 애플리케이션 — 웹에서 사용 가능한 소프트웨어에 중점을 둡니다.
• 사회공학은 시스템이 아닌 사람을 대상으로 합니다.

취약점 해결 조치가 없는 침투 테스트는 돈 낭비입니다. 보고서는 누군가가 그 내용을 바탕으로 조치를 취할 때 비로소 의미가 있습니다.