외부 보안 진단 링크 & 도구 모음

CSP, HSTS, X-Content-Type-Options 등 브라우저 보안에 도움이 되는 응답 헤더의 설정 여부를 확인하고 등급을 제공합니다. 서비스 특성에 따라 필요한 헤더와 정책 값은 달라질 수 있습니다.

실행 방식

외부 웹 서비스

사용 전 확인

입력한 공개 도메인이 제3자 서비스로 전달되며 결과가 공개 또는 캐시될 수 있으므로 소유하거나 점검 권한이 있는 대상만 사용하세요.

웹 서버의 지원 TLS 버전, 인증서 체인 유효성, Cipher Suite 암호화 알고리즘, 키 교환 안전성 및 취약한 프로토콜(SSLv3 등) 여부를 심층 검증합니다.

실행 방식

외부 웹 서비스

사용 전 확인

서비스가 대상 서버에 직접 연결해 TLS 구성을 검사합니다. 소유하거나 점검 권한이 있는 공개 서버만 사용하세요.

DNS, DNSSEC, TLS, HSTS, CSP뿐만 아니라 이메일 스푸핑 방지 레코드(SPF, DKIM, DMARC)까지 도메인 전체의 외부 보안 태세를 광범위하게 검사합니다.

실행 방식

외부 웹 서비스

사용 전 확인

도메인과 관련 인프라 정보가 외부 서비스에서 조회됩니다. 조직 정책과 대상 소유권을 확인한 뒤 실행하세요.

IPv6 지원, DNSSEC 서명, 최신 HTTPS 암호화, RPKI 라우팅 보안 및 이메일 보안 표준 등 현대 인터넷 보안 표준 부합 여부를 객관적으로 측정합니다.

실행 방식

외부 웹 서비스

사용 전 확인

서비스가 공개 DNS와 웹 서버 설정을 조회합니다. 점수는 표준 준수 참고 자료이며 전체 취약점 진단 결과가 아닙니다.

웹 서버의 암호화 설정(TLS), 보안 헤더(CSP/HSTS), DNSSEC뿐 아니라 외부에 노출된 웹 소프트웨어 버전 및 공지된 웹 취약점을 통합 평가합니다.

실행 방식

외부 웹 서비스

사용 전 확인

도메인이 외부 서비스로 전달되고 새 검사 또는 기존 결과 조회가 수행될 수 있습니다. 승인된 대상에만 사용하세요.

제공된 기준선 명령은 Spider로 경로를 탐색한 뒤 수동 검사를 수행하며 실제 공격을 수행하지 않습니다. 능동 검사는 별도 구성과 명시적인 대상 승인이 필요합니다.

실행 방식

로컬 컨테이너

사용 전 확인

능동 검사는 서비스 상태와 데이터에 영향을 줄 수 있습니다. 테스트 환경 또는 명시적으로 허가받은 대상에서만 실행하세요.

브라우저와 서버 사이의 HTTP/S 트래픽을 가로채어 요청 값을 변조하고, 권한 우회(BOLA/IDOR), 비즈니스 로직 취약점, 세션 탈취 등을 정밀 진단하는 데 최적화된 도구입니다.

실행 방식

데스크톱 프록시

사용 전 확인

요청 변조는 계정, 데이터, 서비스 상태에 영향을 줄 수 있으므로 허가받은 테스트 환경과 계정에서만 수행하세요.

추상 구문 트리(AST) 기반 규칙으로 소스코드의 취약 패턴과 보안 실수를 탐지합니다. CI 실패나 배포 차단은 선택한 규칙과 파이프라인 정책을 별도로 구성해야 합니다.

실행 방식

로컬 CLI

사용 전 확인

자동 규칙은 오탐과 미탐이 있을 수 있습니다. 결과를 검토하고 프로젝트 특성에 맞는 규칙과 제외 범위를 관리하세요.

Docker 컨테이너 이미지의 OS/패키지 CVE, Terraform/Kubernetes 인프라 코드의 Misconfiguration, 오픈소스 라이브러리 취약점을 단일 도구로 통합 점검합니다.

실행 방식

로컬 CLI

사용 전 확인

취약점 데이터베이스와 정책을 최신 상태로 유지하고, 탐지 결과의 실제 도달 가능성과 예외 승인 근거를 함께 검토하세요.

AWS Access Key, GitHub Token, API Key, 패스워드 등 저장소와 커밋 이력에 포함된 시크릿 후보를 규칙 기반으로 탐지합니다. 결과 검토와 노출된 자격증명의 폐기·교체가 별도로 필요합니다.

실행 방식

로컬 CLI

사용 전 확인

탐지 결과에서 실제 시크릿 값을 로그나 이슈에 재노출하지 마세요. 이미 커밋된 자격증명은 기록 삭제만으로 보호되지 않으므로 즉시 폐기·교체하세요.

Linux eBPF 및 커널 시스템 콜을 감시하여 실행 중인 컨테이너 내부에서 예기치 않은 셸 실행, 비인가 파일 접근, 의심스러운 프로세스 생성 등 런타임 침해 행위를 실시간 감지합니다.

실행 방식

클러스터 런타임

사용 전 확인

커널 이벤트 수집을 위해 노드 수준 권한과 드라이버가 필요할 수 있습니다. 운영 배포 전 지원 환경, 권한, 성능 영향과 경보 전달 경로를 검토하세요.

Terraform, CloudFormation, Kubernetes, Helm, Serverless 등 다양한 인프라 정의 코드(IaC)를 정적으로 분석하여 클라우드 설정 위험을 배포 전에 찾습니다. CI 실패나 배포 차단은 정책을 별도로 구성해야 합니다.

실행 방식

로컬 CLI

사용 전 확인

정책 결과는 조직의 클라우드 구조와 위험 수용 기준에 맞춰 검토하세요. 예외 처리는 사유와 만료 시점을 함께 관리하는 것이 좋습니다.

Terraform HCL을 정적으로 분석하여 프로비저닝 전에 암호화 누락, 공개 노출, 과도한 권한 같은 설정 위험을 찾습니다. 도구는 계속 사용할 수 있지만 신규 표준화에는 Trivy config도 함께 검토해야 합니다.

실행 방식

로컬 CLI

사용 전 확인

정적 분석은 실제 배포 상태와 런타임 제어를 모두 확인하지 못합니다. Terraform 계획과 클라우드 구성 검증을 함께 수행하세요.

유지보수 안내: Aqua Security는 tfsec를 계속 제공하지만 엔지니어링 역량을 Trivy에 집중하고 있어 Trivy config로의 전환을 권장합니다.