Windows 10 화면 오른쪽에 저작권 요청 알림을 제거하는 방법
화면 오른쪽 모서리에 Windows 10 정품 인증 알림이 표시됩니까? 이 문서에서는 Windows 10에서 저작권 요청 알림을 삭제하는 방법을 안내합니다.
오순절이란 무엇입니까? 침투 테스트에 대해 알아보기(침투 테스트)
침투 테스트는 시스템의 보안을 평가하기 위해 컴퓨터에 대한 승인된 시뮬레이션 사이버 공격입니다. 테스트는 승인되지 않은 당사자가 시스템 기능 및 데이터에 액세스할 수 있는 가능성과 승인되지 않은 당사자가 시스템 기능 및 데이터에 액세스하도록 허용하는 강점을 포함하여 모든 약점(취약성이라고도 함)을 식별하기 위해 수행됩니다.
침투 테스트란 무엇입니까?
침투 테스트란 무엇입니까?
침투 테스트, 침투 테스트 또는 윤리적 해킹으로도 알려진 침투 테스트는 악용될 수 있는 취약점을 테스트하기 위해 컴퓨터 시스템에 대한 시뮬레이션 공격입니다. 웹 애플리케이션 보안에서는 웹 애플리케이션 방화벽(Web Application Firewall - WAF)을 강화하기 위해 침투 테스트가 자주 사용됩니다.
펜 테스트에는 악성 코드 삽입에 취약한 확인되지 않은 입력과 같은 취약점을 발견하기 위해 애플리케이션 시스템(예: 애플리케이션 프로토콜 인터페이스 - API, 프런트엔드/백엔드 서버)을 침해하려는 시도가 포함될 수 있습니다.
침투 테스트를 통해 제공된 통찰력을 사용하여 WAF 보안 정책을 개선하고 발견된 취약점을 패치할 수 있습니다.
침투 테스트의 단계
펜 테스트 프로세스는 5단계로 나눌 수 있습니다.
1. 수동적 정보 수집 및 추적
침투 테스트 및 버그 바운티 테스트의 첫 번째 단계에서 테스터는 대상 시스템에 대한 정보를 수집해야 합니다. 공격 및 테스트 방법이 꽤 많기 때문에 침투 테스터는 가장 적합한 방법을 결정하기 위해 수집된 정보를 기반으로 우선 순위를 결정해야 합니다.
이 단계에는 해당 범위 내의 도메인 이름, 네트워크 블록, 라우터 및 IP 주소와 같은 대상 시스템 인프라에 대한 귀중한 세부 정보를 추출하는 작업이 포함됩니다. 또한 직원 데이터, 전화번호 등 공격의 성공을 높일 수 있는 관련 정보도 수집해야 합니다.
이 기간 동안 오픈 소스에서 얻은 데이터는 놀랍도록 중요한 세부 정보를 제공할 수 있습니다. 이를 달성하기 위해 화이트 해커는 다양한 소스를 활용해야 하며 특히 대상 조직의 웹사이트와 소셜 미디어 플랫폼에 중점을 두어야 합니다. 이 정보를 꼼꼼하게 수집함으로써 테스터는 성공적인 버그 보상 노력을 위한 기반을 마련할 것입니다.
그러나 대부분의 조직은 버그 바운티 프로세스 중에 침투 테스터에게 다른 규칙을 적용합니다. 법적 관점에서 이러한 규칙을 벗어나지 않는 것이 필요합니다.
2. 사전에 정보를 수집하고 스캔합니다.
침투 테스터는 IP 범위 내에서 어떤 활성 장치와 수동 장치가 활성 상태인지 감지하며 일반적으로 버그 바운티 중 수동 수집을 통해 수행됩니다. 침투 테스터는 이 수동적 수집 과정에서 얻은 정보의 도움을 받아 경로를 결정해야 합니다. 즉, 침투 테스터는 우선 순위를 정하고 정확히 어떤 테스트가 필요한지 결정해야 합니다.
이 기간 동안 해커는 운영 체제, 열린 포트 및 서비스에 대한 정보는 물론 라이브 시스템의 버전 정보를 얻는 것을 피할 수 없습니다.
또한 조직이 침투 테스터가 네트워크 트래픽을 모니터링할 수 있도록 합법적으로 요청하는 경우 시스템 인프라에 대한 중요한 정보를 최소한 가능한 한 많이 수집할 수 있습니다. 그러나 대부분의 조직에서는 이 권한을 부여하고 싶어하지 않습니다. 이러한 상황에서 침투 테스터는 규칙을 벗어나서는 안 됩니다.
3. 분석 및 테스트 단계
이 단계에서 침투 테스터는 대상 응용 프로그램이 다양한 침입 시도에 어떻게 반응할지 파악한 후 감지한 활성 시스템과 작업 연결을 설정하려고 시도하고 직접 요청을 이행하려고 시도합니다. 즉, 화이트햇 해커가 FTP, Netcat, Telnet 등의 서비스를 효과적으로 활용하여 대상 시스템과 상호작용하는 단계이다.
이 단계의 실패에도 불구하고, 여기서 주요 목적은 정보 수집 단계에서 얻은 데이터를 확인하고 메모하는 것입니다.
4. 조작 및 악용 시도
침투 테스트의 공격 단계
침투 테스터는 한 가지 목표를 위해 이전 프로세스에서 수집된 모든 데이터를 수집합니다. 실제 악의적인 해커와 동일한 방식으로 대상 시스템에 액세스하려고 합니다. 이것이 바로 이 단계가 매우 중요한 이유입니다. 버그 바운티 프로그램에 참여할 때 침투 테스터는 실제 해커처럼 생각해야 하기 때문입니다.
이 단계에서 침투 테스터는 대상 시스템에서 실행되는 운영 체제를 사용하여 시스템 침투를 시도하고, 이러한 포트에서 서비스를 제공하는 열린 포트와 서비스를 시도하며, 버전에 따라 가능한 공격이 적용될 수 있습니다. 웹 기반 포털과 애플리케이션은 많은 코드와 라이브러리로 구성되어 있기 때문에 악의적인 해커의 공격 범위가 더 커집니다. 이와 관련하여 훌륭한 침투 테스터는 모든 가능성을 고려하고 규칙 내에서 허용되는 모든 가능한 공격 벡터를 배포해야 합니다.
시스템을 손상시키지 않고 시스템 탈취 중에 흔적을 남기지 않고 기존 공격을 성공적이고 유연하게 사용할 수 있으려면 심각한 전문 지식과 경험이 필요합니다. . 따라서 이 침투 테스트 단계가 가장 중요한 단계입니다.
5. 특권 강화를 위한 노력
시스템의 강도는 가장 약한 링크에 의해 결정됩니다. 화이트 해커가 시스템에 액세스할 경우 일반적으로 권한이 낮은 사용자로 시스템에 로그인합니다. 이 단계에서 침투 테스터는 운영 체제나 환경의 취약점을 활용하는 관리자 권한이 필요합니다.
그런 다음 획득한 추가 권한과 최종적으로 도메인 관리자 또는 데이터베이스 관리자와 같은 최상위 사용자 권한을 사용하여 네트워크 환경의 다른 장치를 인수하는 것을 목표로 합니다.
6. 보고 및 발표
침투 테스터는 버그 헌팅 결과를 보고하고 보상을 받습니다.
침투 테스트 및 버그 바운티 단계가 완료되면 침투 테스터 또는 버그 사냥꾼은 대상 시스템에서 발견한 보안 취약점, 다음 단계 및 자세한 보고서를 통해 조직에서 이러한 취약점을 악용할 수 있는 방법을 제시해야 합니다. 여기에는 스크린샷, 샘플 코드, 공격 단계 및 이 취약점이 발생할 수 있는 방법과 같은 정보가 포함되어야 합니다.
최종 보고서에는 각 보안 취약점을 해결하는 방법에 대한 솔루션 권장 사항도 포함되어야 합니다. 침투 테스트의 민감도와 독립성은 미스터리로 남아 있습니다. 화이트 해커는 이 단계에서 얻은 기밀 정보를 절대 공유해서는 안 되며, 허위 정보를 제공하여 이 정보를 오용해서는 안 됩니다. 이는 일반적으로 불법이기 때문입니다.
침투 테스트 방법
외부 테스트 (외부 침투 테스트)
외부 침투 테스트는 웹 애플리케이션 자체, 회사 웹사이트, 이메일, 도메인 이름 서버(DNS) 등 인터넷에 표시되는 회사의 "자산"을 대상으로 합니다 . 목표는 액세스 권한을 얻고 귀중한 데이터를 추출하는 것입니다.
내부 테스트 (내부 침투 테스트)
내부자 침투 테스트에서는 방화벽 뒤에 있는 애플리케이션에 액세스할 수 있는 테스터가 내부자에 의한 공격을 시뮬레이션합니다. 이 공격은 내부 직원이 해커가 될 수 있다는 가능성을 경고할 뿐만 아니라 관리자에게 피싱 공격 후 조직 내 직원의 로그인 정보가 도난당하는 것을 방지하도록 상기시킵니다 .
블라인드 테스트 (“블라인드” 테스트)
블라인드 테스트에서는 테스터에게 대상 기업의 이름만 부여됩니다. 이를 통해 보안 담당자는 애플리케이션 공격이 실제로 어떻게 진행되는지 실시간으로 확인할 수 있습니다.
이중맹검 테스트
이중맹검 테스트에서 보안 담당자는 시뮬레이션되는 공격에 대한 사전 지식이 없습니다. 현실 세계와 마찬가지로 방어력을 향상시키기 위해 공격을 미리 아는 것이 항상 가능한 것은 아닙니다.
표적 테스트
이 시나리오에서는 테스터와 보안 담당자가 함께 협력하고 서로의 행동을 지속적으로 평가합니다. 이는 보안팀에 해커의 관점에서 실시간 피드백을 제공하는 귀중한 교육입니다.
침투 테스트 및 웹 애플리케이션 방화벽
침투 테스트와 WAF는 독립적인 보안 조치이지만 보완적인 이점을 제공합니다.
다양한 유형의 펜 테스트(블라인드 및 이중 블라인드 테스트 제외)에서 테스터는 로그와 같은 WAF 데이터를 사용하여 애플리케이션 약점을 찾아 활용할 수 있습니다.
결과적으로 WAF 관리자는 침투 테스트 데이터의 이점을 누릴 수 있습니다. 테스트가 완료되면 WAF 구성을 업데이트하여 테스트 중에 발견된 약점으로부터 보호할 수 있습니다.
마지막으로 침투 테스트는 PCI DSS 및 SOC 2를 포함한 다양한 보안 테스트 규정 준수 요구 사항을 충족합니다. PCI-DSS 6.6과 같은 일부 표준은 인증된 WAF를 사용해야만 충족할 수 있습니다.
화이트 햇 해커 툴킷
화이트 해커는 펜 테스트를 사용하여 오류와 취약점을 찾습니다.
윤리적 해킹 은 기술만 필요한 작업이 아닙니다. 대부분의 화이트 햇 해커(윤리적 해커)는 전문적인 운영 체제와 소프트웨어를 사용하여 작업을 더 쉽게 만들고 수동 실수를 방지합니다.
그렇다면 해커들은 무엇을 위해 펜 테스트를 사용합니까? 다음은 몇 가지 예입니다.
앵무새 보안 OS
Parrot Security는 침투 테스트 및 취약성 평가를 위해 설계된 Linux 기반 운영 체제입니다. 클라우드 친화적이고 사용하기 쉬우며 다양한 오픈소스 소프트웨어를 지원합니다.
라이브 해킹 OS
또한 Linux 운영 체제인 Live Hacking은 가볍고 높은 하드웨어가 필요하지 않기 때문에 침투 테스트를 수행하는 사람들에게 적합한 선택입니다. Live Hacking에는 침투 테스트 및 윤리적 해킹을 위한 도구와 소프트웨어가 사전 패키지로 제공됩니다.
엔맵
Nmap은 네트워크를 모니터링하고 장치 호스트 및 서버에 대한 데이터를 수집 및 분석하는 오픈 소스 인텔리전스 도구(OSINT)로 블랙, 그레이, 화이트 햇 해커에게 유용합니다.
Nmap은 크로스 플랫폼이며 Linux, Windows 및 macOS와도 작동하므로 초보 윤리적 해커에게 이상적입니다.
웹샤그
WebShag는 OSINT 도구이기도 합니다. 이는 HTTPS 및 HTTP 프로토콜을 검사하고 관련 데이터 및 정보를 수집하는 시스템 테스트 도구입니다. 윤리적인 해커가 공개 웹사이트를 통해 외부 침투 테스트를 수행하는 데 사용됩니다.
침투 테스트를 하려면 어디로 가야 하나요?
자체 네트워크에 대한 펜 테스트는 최선의 선택이 아닙니다. 네트워크에 대한 심층적인 지식이 충분히 축적되지 않아 창의적으로 생각하고 숨겨진 취약점을 찾는 것이 어려울 수 있기 때문입니다. 독립적인 화이트 해커나 침투 테스트 서비스를 제공하는 회사의 서비스를 고용해야 합니다.
그러나 네트워크를 해킹하기 위해 외부인을 고용하는 것은 매우 위험할 수 있으며, 특히 기밀 정보나 내부 액세스를 제공하는 경우 더욱 그렇습니다. 그렇기 때문에 신뢰할 수 있는 제3자 제공업체를 이용해야 합니다. 참고할 수 있는 몇 가지 제안 사항은 다음과 같습니다.
HackerOne.com
HackerOne은 샌프란시스코에 본사를 두고 침투 테스트, 취약성 평가 및 프로토콜 준수 테스트 서비스를 제공하는 회사입니다.
ScienceSoft.com
텍사스에 위치한 ScienceSoft는 취약성 평가, 침투 테스트, 규정 준수 및 인프라 테스트 서비스를 제공합니다.
Raxis.com
조지아주 애틀랜타에 본사를 둔 Raxis는 침투 테스트 및 보안 코드 검토부터 사고 대응 교육, 취약성 평가 및 사회 공학 공격 예방 교육에 이르기까지 귀중한 서비스를 제공합니다 .
Windows 10 빌드 14393.222 설치 방법에 대한 AZ의 지침
최근 Microsoft는 Windows 10 PC 사용자를 위한 Build 14393.222라는 최신 누적 업데이트를 출시했습니다. Windows 10용으로 출시된 이 업데이트는 주로 사용자 피드백을 기반으로 버그를 수정하고 운영 체제의 성능 경험을 향상시킵니다.
Bastion 호스트로 단 3단계만으로 컴퓨터 네트워크를 보호하세요
로컬 네트워크에 외부 액세스가 필요한 컴퓨터가 있습니까? 요새 호스트를 네트워크의 게이트키퍼로 사용하는 것이 좋은 솔루션이 될 수 있습니다.
키보드를 사용할 수 없는 경우 Windows 키를 만드는 방법
물리적 Windows 키가 포함되지 않은 IBM Model M과 같은 오래된 클래식 키보드를 사용하려는 경우 자주 사용하지 않는 키를 빌려 쉽게 추가할 수 있는 방법이 있습니다.
Windows 10에서 모든 이벤트 로그를 빠르게 지우는 3가지 방법
때로는 오래된 이벤트 로그를 한꺼번에 삭제해야 할 수도 있습니다. 이 가이드에서 Quantrimang.com은 Windows 10 이벤트 뷰어에서 모든 이벤트 로그를 빠르게 삭제하는 3가지 방법을 보여줍니다.
가짜 IP 방법을 사용하면 익명으로 액세스할 수 있습니다.
이전의 많은 기사에서 우리는 온라인에서 익명을 유지하는 것이 매우 중요하다고 언급했습니다. 매년 개인정보가 유출되면서 온라인 보안의 필요성이 높아지고 있습니다. 이것이 바로 가상 IP 주소를 사용해야 하는 이유이기도 합니다. 아래에서는 가짜 IP를 생성하는 방법에 대해 알아 보겠습니다!
Windows 10에서 투명 배경 모드를 만드는 방법
WindowTop은 Windows 10 컴퓨터에서 실행되는 모든 응용 프로그램 창과 프로그램을 어둡게 하는 기능이 있는 도구입니다.또는 창에서 어두운 배경 인터페이스를 사용할 수도 있습니다.
Windows 8 작업 표시줄에서 입력 도구 모음을 끄는 방법
Windows 8의 입력 도구 모음은 데스크톱 화면에 자동으로 표시되도록 설계된 소형 언어 도구 모음입니다. 그러나 많은 사람들이 작업 표시줄에서 이 입력 도구 모음을 숨기고 싶어합니다.
Linksys 라우터용 WEP, WPA, WPA2를 설정하는 방법
오늘날 무선 연결은 필수입니다. 따라서 내부 네트워크의 안전을 보장하려면 무선 보안이 필수적입니다.
Windows 10 로그인 화면에 알림 표시에 대한 팁
친구나 가족과 컴퓨터를 공유하거나 특히 여러 대의 컴퓨터를 관리하는 경우 컴퓨터에 로그온하기 전에 메모를 통해 상기시키고 싶은 불쾌한 상황에 직면할 수 있습니다.