Week 01 — 침투 테스트란?

발표 자료 다운로드 (PPT)

개요

교내 정보보호 동아리 HUB(Highest Unique Batch) 학생을 대상으로, 자동화 침투 테스트 플랫폼 Pentera의 공식 교육 자료를 활용하여 모의해킹 및 보안 검증의 기초 개념을 전달하는 세미나의 첫 번째 주차입니다.

학습 목표

• 모의해킹(Penetration Testing)의 정의와 목적 이해
• 취약점(Vulnerability)과 익스플로잇(Exploit)의 차이 구분
• CVSS 스코어링 체계를 통한 취약점 심각도 평가
• Kill Chain 개념을 통한 공격 단계 이해

모의해킹이란?

모의해킹(Penetration Testing)은 허가받은 해킹입니다. 취약점 스캐닝과는 다른 개념으로, 단순히 취약점을 발견하는 것을 넘어 실제로 악용 가능한지를 증명합니다.

• 취약점 스캐닝: 취약점이 있다고 다 뚫리는 건 아니다 → “발견”에 초점
• 침투 테스트: 취약점을 실제로 악용하여 시스템에 침투 → “증명”에 초점

취약점 vs. 익스플로잇

구분	취약점 (Vulnerability)	익스플로잇 (Exploit)
정의	시스템의 보안 약점	약점을 악용하는 기법/코드
비유	잠기지 않은 문	문을 열고 들어가는 행위
핵심	존재 자체가 위험	실제 피해로 연결

CVSS 스코어

CVSS(Common Vulnerability Scoring System)는 취약점 심각도를 0~10점으로 매기는 국제 표준입니다.

등급	점수 범위
Critical	9.0 ~ 10.0
High	7.0 ~ 8.9
Medium	4.0 ~ 6.9
Low	0.1 ~ 3.9

Kill Chain

공격자는 한 번에 뚫는 게 아니라 단계를 밟는다:

1. 정찰(Reconnaissance) — 대상 정보 수집
2. 침입(Initial Access) — 시스템에 최초 진입
3. 확산(Lateral Movement) — 내부 네트워크 이동
4. 목표 달성(Objective) — 데이터 탈취, 권한 장악 등

이 단계를 이해하면 어디서 방어해야 하는지가 명확해집니다.

핵심 정리

• 침투 테스트는 취약점의 “존재”가 아닌 “악용 가능성”을 증명하는 과정
• CVSS 스코어로 취약점의 우선순위를 객관적으로 판단
• Kill Chain을 이해하면 공격자의 관점에서 방어 전략을 수립할 수 있음
• Pentera는 이 전체 과정을 자동화하는 플랫폼