공격표면 관리(ASM)란? 잊힌 서버·서브도메인을 찾는 자가점검 5단계
공격표면 관리(ASM)는 인터넷에서 보이는 도메인·서버·웹사이트·API를 찾아 목록으로 만들고, 담당자와 위험을 계속 관리하는 일입니다. 쓰지 않는 하위 도메인이 대형 유출로 이어진 사례, ISMS-P 정보자산 기준, 직접 해 볼 수 …
제로데이 패치 우선순위, CVSS 말고 노출·KEV로 정하는 법 [2026]
패치 전 악용이 평균이 된 지금, 패치 순서를 CVSS 점수로만 정하면 늦습니다. 미국 CISA BOD 26-04의 네 가지 기준(인터넷 노출, KEV, 자동화 가능, 장악 수준)과 8월 PaperCut 제로데이 …
ASM 일회성 리포트·파일럿·월 구독, 어떻게 선택할까요?
필요한 결과와 반복할 업무를 기준으로 ASM 도입 방식을 고르는 가이드입니다. 일회성 리포트·유료 파일럿·월 구독의 차이와 상담 전 확인할 범위를 정리합니다.
AI 에이전트 보안: 자율 AI가 도구를 쥐면 인젝션 한 줄이 실제 행동이 된다
메일·DB·결제·파일을 자동 호출하는 AI 에이전트가 늘면서, 프롬프트 인젝션 한 줄이 실제 데이터 유출·환불·삭제로 이어질 수 있습니다. OWASP 과도한 에이전시(Excessive Agency) 관점에서 공격 시나리오와 방어법, 7문 자가점검을 정리했습니다.
프롬프트 인젝션, 공격자는 실제로 이렇게 뚫는다: AI 레드팀 관점 공격 시나리오
프롬프트 인젝션은 OWASP LLM 위협 1위(LLM01)입니다. 방어자는 설마 되겠어라고 넘기지만, 레드팀이 찔러보면 상담봇 시스템 프롬프트가 새고 문서에 숨긴 명령이 실행됩니다. 공격자가 실제로 뚫는 직접·간접 주입 방식과 상담봇 유출·문서요약봇·에이전트 …
사내 문서 전부 AI 챗봇에 넣으면 생기는 일 — RAG 정보유출·오염 자가점검 2026
"사내 문서를 다 넣으면 똑똑해진다"며 인사·재무·법무 문서를 통째로 사내 AI 챗봇(RAG)에 연결하는 기업이 늘고 있습니다. 하지만 검색층에 권한제어가 없으면 마케팅 직원이 팀장 연봉을 묻는 것만으로 인사 기밀이 새어 …
API 보안 취약점 점검 가이드 2026: SaaS·앱이 놓치는 5가지
화면에서 막아도 공격자는 API를 직접 두드립니다. 요청의 id를 옆 번호로 바꾸는 순간 남의 데이터가 응답으로 돌아옵니다. OWASP API Security Top 10 기준으로 BOLA·인증 취약·과도한 데이터 노출·rate limit 부재·함수 …
랜섬웨어 대응 가이드 2026 — 중소기업이 지금 해야 할 예방과 백업
랜섬웨어 공격자는 회사 규모가 아니라 열려 있는 문을 노립니다. 감염 경로 차단, 3-2-1 백업, 최소권한·망분리, 감염 시 격리·신고·복구 절차를 실무 기준으로 정리했습니다. 자가점검 체크리스트로 우리 회사가 지금 어디까지 …
클라우드 보안 점검 — AWS 설정 실수 자가진단 가이드 2026
클라우드 사고의 대부분은 해킹이 아니라 설정 실수에서 시작됩니다. 공개 S3 버킷, IAM 과다 권한과 루트키, 보안그룹 0.0.0.0/0, 노출된 콘솔과 하드코딩 키까지 — AWS 설정 실수를 외부 노출 관점에서 …
모의해킹 견적이 3배씩 벌어지는 이유: 범위·맨데이 산정과 RFP 작성법
같은 '웹 모의해킹'을 요청했는데 A업체 300만, B업체 900만, C업체 2,000만. 견적이 벌어지는 진짜 이유는 업체가 아니라 '범위'가 정의되지 않아서입니다. 견적을 가르는 변수, RFP 작성법, 발주 담당자용 필수 8항목 …
해킹당했다면 지금 뭘 해야 하나 — 침해사고 대응 업체 선정·비용·신고기한 실무
이미 해킹당한 기업이 검색하는 실제 질문 — 어디에 연락하고, 얼마가 들고, 언제까지 신고해야 하나. 최초 60분 초동조치부터 24시간·72시간 법정 신고, 대응 업체 선정 기준과 비용 구조까지 한 페이지 …
자동 스캔으로 충분할까? 웹 취약점 자동 진단 vs 수동 모의해킹, 언제 뭘 써야 하나
무료 자동 스캔이 잡는 것과 못 잡는 것을 정리하고, 수동 모의해킹이 필요한 시점을 판단하는 기준을 제시한다. 자동 스캔은 표면을 30초에 훑고, 수동 진단은 스캐너가 놓치는 로직 결함·인증 우회를 …