Web Application Security Testing

웹 애플리케이션 보안 테스트의 중요성

기업에는 애플리케이션 보안(AppSec) 프로그램 이면에 다양한 동인이 있습니다. 웹 애플리케이션의 취약성은 회사의 비용을 초래하고 평판을 손상시키는 보안 사고로 이어질 수 있습니다. 컴플라이언스 규정 요구 사항은 일반적으로 특정 보안 제어의 사용과 이러한 제어에 대한 정기적인 평가를 의무화합니다.

웹 애플리케이션 보안 테스트는 조직이 보안 위험을 관리하고 규정 요구 사항을 준수하는 데 도움이 될 수 있습니다. 테스트는 일반적으로 취약성을 검색하거나 특정 위협 또는 컴플라이언스 요구 사항을 해결하도록 설계된 대상 시나리오에 집중할 수 있습니다.

웹 애플리케이션 보안 테스트의 유형

웹 애플리케이션 보안 테스트는 소프트웨어 개발 수명 주기(SDLC )의 여러 단계에서 몇 가지 다른 방법으로 수행할 수 있습니다. 웹앱 보안 테스트의 몇 가지 일반적인 형태는 다음과 같습니다.

• 사스트: 정적 애플리케이션 보안 테스트 (SAST)는 애플리케이션의 소스 코드를 분석하여 잠재적인 취약성을 식별합니다. 실행 가능한 애플리케이션이 필요하지 않기 때문에 코드 커밋이 리포지토리에 수락되기 전에 자동화된 테스트의 일부로 포함하여 SDLC에서 초기에 적용할 수 있습니다.
• 다스트: DAST(Dynamic Application Security Testing )는 실행 중인 애플리케이션의 동작을 분석하고 다양한 합법적, 악성 또는 잘못된 형식의 입력을 전달하여 취약성을 식별하려고 시도합니다. DAST에는 실행 중인 애플리케이션이 필요하므로 나중에 SDLC에서 일반적으로 테스트 단계에서 사용됩니다.
• 줄: 런타임 애플리케이션 자체 보호 (RASP)는 프로덕션 애플리케이션에 적용되는 보안 도구입니다. 계측을 사용하여 애플리케이션의 입력, 출력 및 동작을 모니터링하고 애플리케이션 동작에 미치는 영향에 따라 잠재적인 익스플로잇을 식별합니다.
• 펜 테스트: 침투 테스트 는 프로덕션 애플리케이션의 보안 취약성에 대한 인간 주도 평가입니다. 침투 테스터는 종종 데이터베이스에 저장된 민감한 데이터에 대한 액세스 권한 획득과 같은 연습을 위해 미리 정의된 목표를 추구하기 위해 애플리케이션의 취약성을 식별하고 악용하려고 시도합니다.

웹 애플리케이션 보안 테스트의 결과물

보안 테스트는 사내 또는 타사 제공업체에서 수행할 수 있습니다. 찾아야 할 몇 가지 결과물은 다음과 같습니다.

• 요약: 보안 테스트의 최종 보고서에는 높은 수준의 핵심 요약이 포함되는 경우가 많습니다. 이는 테스트 결과를 강조 표시하고 더 높은 수준의 비기술적 이해 관계자에게 필요한 정보를 제공합니다.
• 취약성 세부 정보: 핵심 요약 외에도 보고서는 테스트 및 결과에 대한 심층적인 설명을 제공해야 합니다. 여기에는 수행된 테스트, 식별된 취약성 및 이를 완화하기 위한 권장 사항이 포함될 수 있습니다.
• 라이브 디브리핑: 테스터는 고객에게 실시간 디브리핑 프레젠테이션을 제공할 수도 있습니다. 이렇게 하면 고객이 테스트 결과를 이해하고 보고서와 관련하여 궁금한 점을 질문할 수 있습니다.