전문 컨설턴트의 앱 모의해킹

[이력]

- 보안 컨설팅 및 금융기관 RedTeam 업무 4년(현직)

- 40여개 대기업, 금융기관, 공공기관 등에서 인프라 2000개 이상, 웹/앱 모의해킹 200개 이상 수행

- Public Cloud 환경 유니콘 기업, 스타트업, 금융 대기업 AWS/GCP/Kubernetes 취약점 진단 수행

- ISMS 인증/전자금융기반시설/ISO27001 인증 등 프로젝트 수행

[수행 업무]

- WEB 모의해킹

- APP 모의해킹(현재 서비스)

- 인프라(서버, DB 등) 취약점 진단

- AWS, GCP 취약점 진단

- Kubernetes 취약점 진단

- 보안 교육(취업 상담, 기술 전수, 직원 보안교육, 세미나)

[수행 내용]

- 단순 진단이 아닌 서비스 특성과 요구사항을 고려하여 위험도가 높은 포인트를 집중 진단합니다.

- 4년간 공격자, 방어자의 입장이 되어본 전문인력으로 다양한 관점으로 진단합니다.

- 어렵게 믿고 맡겨주신 것을 잘 알기에 꼼꼼한 작업물로 보답하겠습니다.

- 대기업 및 타 기관 대비 합리적인 금액으로 퀄리티 있는 서비스를 제공하겠습니다.

- 고객 니즈를 정확히 파악하여 만족도 높은 결과물을 내기 위해 충분히 소통하여 진행합니다. 문의사항이 있으실 경우 밤/낮 구분없이 편하게 문의주세요. 친절하게 답변 드리겠습니다.

- APP 모의해킹 서비스 외 서비스도 제공하고 있으니 연계 의뢰시 문의 부탁드립니다.

!! 불법적인 의뢰는 받지 않습니다. !!

[제공되는 작업물]

- 진단 보고서 1부

- 보안 가이드 1부

[진단 항목]

디바이스 기반 정적 진단 항목 진단은 "STANDARD" 선택

권한(세션) 기능 포함한 전반적인 항목에 대한 진단은 "DELUXE" 선택

결제 기능이 존재하거나 금융 등 보안이 중요한 앱은 "PREMIUM" 선택

- STANDARD: STANDARD 7개 항목 진단

- DELUXE: STANDARD 7개 + DELUXE 28개 = 35개 항목 진단

- PREMIUM: STANDARD 7개 + DELUXE 28개 + PREMIUM 13개 = 48개 항목 진단

[진단 항목 상세]

- STANDARD(7개)

OS 변조 탐지 기능 적용 여부

프로그램 무결성 검증

소스코드 난독화 적용 여부

단말기 내 중요정보 저장 여부

메모리 내 중요정보 노출 여부

앱 소스코드 내 운영정보 노출 여부

디버그 로그 내 중요정보 노출 여부

- DELUXE(28개)

SQL Injection

악성파일 업로드

부적절한 이용자 인가 여부

이용자 인증정보 재사용

고정된 인증정보 이용

유추가능한 인증정보 이용

유추가능한 초기화 비밀번호 이용

파일 다운로드

외부사이트에 의한 시스템 운영정보 노출 여부

유추 가능한 세션ID

쿠키변조

운영체제 명령실행

리다이렉트 기능을 이용한 피싱 공격

불충분한 이용자 인증

화면 내 중요정보 평문노출 여부

자동화공격

화면 강제실행에 의한 인증단계 우회

디렉토리 목록 노출

시스템 운영정보 노출 여부

불충분한 세션종료 처리

불필요한 웹 메서드 허용

관리자 페이지 노출 여부

불필요한 파일 노출 여부

크로스 사이트 스크립팅 (XSS)

백그라운드 화면 보호

세션정보 재사용

인증수단 소유자 검증 여부

통신구간 암호화 적용 여부

- PREMIUM(13개)

거래 인증수단 검증 오류

거래정보 무결성 검증

거래정보 재사용

거래시 소유주 확인 여부

비밀번호 변경 시 본인확인 절차 실시 여부

비밀번호 변경 시 이전 비밀번호 재사용 여부

악성코드 방지

이용자 입력정보 보호

인증 오류 횟수 제한기능 제공 여부

취약한 HTTPS 프로토콜 이용

취약한 HTTPS 암호 알고리즘 이용

취약한 HTTPS 컴포넌트 사용

취약한 HTTPS 재협상 허용

1. 의뢰 준비

- 진단 예외 사항 전달(ex. 결제부분 sql 공격 제외)

- 요구사항, 기간, 비용 협의 후 결제 진행

2. 진단 준비

- .APK, .IPA 파일 준비(보안 솔루션 사용시 솔루션 적용/미적용 파일 제공)

- 테스트 계정 준비(admin 1개, user 1개)

- 방화벽 해제, IP 접근제어 허용

- 기타 필요한 준비 수행

3. 작업물 작업 및 전달

- 보고서 1부, 가이드 1부

4. 검토 및 수정 문의

- 보고서 및 가이드 검토 후 수정 요청

5. 작업물 수정 및 전달

6. 구매확정

- APK, .IPA 파일 준비(보안 솔루션 사용시 솔루션 적용/미적용 파일 제공)

- 테스트 계정 준비(admin 1개, user 1개)

- 방화벽 해제, IP 접근제어 허용

- 기타 필요한 준비 수행

※ 본인 서비스 확인을 위해 사업자등록증 등 서류 필요 할 수 있음