"무료 스캔 돌렸더니 다 통과던데, 그럼 안전한 거 아닌가요?"
자동 스캔에서 깨끗하게 나왔다고 안심하기엔 이르다. 반대로, 모든 서비스가 처음부터 수백만 원짜리 수동 모의해킹부터 받아야 하는 것도 아니다. 핵심은 자동과 수동이 각각 무엇을 잡고 무엇을 못 잡는지를 알고, 우리 서비스 단계에 맞게 고르는 것이다.
SENTRIX는 자동 스캔 SaaS(CodeScan)와 수동 모의해킹을 모두 제공하는 보안 전문 기업이다. 어느 한쪽을 팔기 위해서가 아니라, 실제로 어느 시점에 무엇이 필요한지를 정리한다.
자동 스캔이 잡는 것 · 못 잡는 것
자동 스캐너는 알려진 취약점 시그니처와 설정 오류를 빠르게 훑는다. URL 하나로 30초면 표면을 점검한다.
잘 잡는 것
- SSL/TLS 설정 오류, 만료 임박 인증서
- 빠진 보안 헤더(CSP·HSTS 등)
- 불필요하게 열린 포트
- 소스·번들에 노출된 API 키/시크릿
- 알려진 취약 버전의 라이브러리
못 잡는 것 (사람이 필요한 영역)
- 비즈니스 로직 결함 — 정상 기능을 악용한 결제 금액 위조, 권한 우회
- 인증·권한 상승 — 남의 계정 데이터 조회(IDOR), 세션 탈취
- 다단계 공격 시나리오 — 여러 취약점을 엮어 실제 침투까지 이어지는 경로
자동 스캔은 "문이 잠겼는지"는 확인하지만, "정상 열쇠로 들어가서 다른 방까지 갈 수 있는지"는 판단하지 못한다. 그 부분이 수동 모의해킹의 영역이다.
자동 vs 수동 — 한눈에 비교
| 구분 | 자동 스캔 | 수동 모의해킹 |
|---|---|---|
| 소요 | 30초~수 분 | 수 일~수 주 |
| 비용 | 무료~월 정액 | 수백만 원~ |
| 커버리지 | 설정·노출·알려진 취약점 | 로직 결함·인증 우회·실제 침투 |
| 산출물 | 등급·요약 | 재현 PoC 포함 정식 보고서 |
| 적합 시점 | 상시 모니터링·1차 확인 | 출시 전·인증 심사·사고 후 |
결론: 둘은 대체재가 아니라 순서다. 자동 스캔으로 넓게·자주 훑어 표면을 관리하고, 중요한 시점에 수동 진단으로 깊게 검증한다.
우리 서비스는 지금 어느 쪽이 필요한가
- 자동 스캔부터 (무료~월 정액)
- 배포 직후 기본 점검이 필요할 때 / 상시 모니터링으로 변경사항을 추적하고 싶을 때 / 유료 진단 전에 현재 상태를 먼저 파악하고 싶을 때
- 수동 모의해킹까지 (수백만 원~)
- 결제·회원 개인정보를 다루는 서비스를 출시할 때 / ISMS-P 등 인증 심사 증적이 필요할 때 / 실제 침해가 의심되거나 사고 후 원인을 규명할 때 / 경영진·감사 부서에 제출할 정식 보고서가 필요할 때
자주 묻는 질문
- Q. 자동 스캔이 다 통과면 수동 진단은 안 받아도 되나요?
- A. 자동 스캔은 설정·노출 위주라, 통과했어도 비즈니스 로직 결함이나 권한 우회는 남아 있을 수 있습니다. 결제·개인정보를 다루는 서비스라면 출시 전 수동 검증을 권장합니다.
- Q. 수동 진단이 비싸다면, 자동 스캔만 자주 돌리는 건 어떤가요?
- A. 상시 모니터링용으로는 좋은 전략입니다. 자동 스캔으로 표면을 관리하다가, 큰 변경(결제 연동·인증 개편)이나 인증 심사 시점에만 수동 진단을 받는 방식이 비용 대비 효율적입니다.
- Q. AI가 만든 코드도 자동 스캔으로 충분한가요?
- A. AI로 빠르게 만든 서비스는 Supabase 접근권한(RLS) 설정 오류, 하드코딩된 시크릿 노출이 자주 발견됩니다. 이런 항목은 자동 스캔이 효과적으로 잡습니다. 다만 인증·결제 로직은 수동 검증이 필요합니다.
순서대로 시작하기
- 지금 상태부터 확인 — CodeScan 30초 무료 스캔으로 SSL·헤더·시크릿 노출 등 20여 개 항목을 점검한다.
- 결과를 보고 판단 — 표면 이슈는 가이드 따라 조치하고, 결제·인증 등 중요 로직이 있다면 수동 진단을 검토한다.
-
깊은 검증이 필요하면 — 레드팀 경력 기반 수동 모의해킹으로 로직 결함·인증 우회를 재현 PoC와 함께 검증받는다. SENTRIX 진단 패키지는 300만 원부터 가격을 공개한다.
-
무료로 시작 → codescan.kr 30초 무료 스캔
- 수동 진단 상담 → SENTRIX 문의하기 (영업일 24시간 내 회신)