정보보호 한잔

요즘 "AI 에이전트가 실제 사용자처럼 웹을 돌아다니며 취약점을 찾아준다"는 상용 도구들이 나오고 있습니다. 실제로 보면 꽤 그럴듯합니다. 그래서 궁금해졌습니다. 오픈소스 스캐너와 AI를 MCP로 붙이면, 비슷한 걸 직접 만들 수 있을까? 결론부터 말하면 연동은 됩니다. 그런데 기대했던 "동적 점검"과는 거리가 있었습니다. 이 글은 그 과정과, 무엇보다 왜 첫 결과가 빈약했는지에 대한 기록입니다. 같은 걸 시도하려는 분들이 같은 지점에서 헤매지 않도록 정리했습니다.🎯 목표로 삼았던 것처음 세운 요구사항은 이랬습니다.에이전트가 점검원처럼 화면을 돌아다니며 확인할 것실제 공격(무기화)까지는 하지 않되, 동적으로 취약 여부를 확인할 것탐지된 것은 조치 가능한 취약점이어야 할 것결과를 리포트로 정리할 것여기서..

OWASP ZAP을 새로 설치하고 애드온 하나 깔려고 마켓플레이스를 열었더니, 업데이트 확인 버튼을 누를 때마다 이런 에러가 뜹니다.인증서 체인이 유효하지 않을 수 있습니다. 회사 프록시 또는 중간 프록시를 사용하고 계십니까? 해당 CA 인증서가 Java 트러스트스토어에 있습니까?문구만 보면 "아, 사내 프록시가 TLS 가로채서 인증서 검증이 깨졌구나" 싶습니다. 저도 그렇게 믿고 사내 CA 인증서를 Java 트러스트스토어에 넣느라 반나절을 썼습니다. 그런데 원인은 인증서가 전혀 아니었습니다. 이 글은 그 삽질의 전 과정과, 같은 함정에 빠진 분들을 위한 진짜 원인·해결법을 정리한 기록입니다. 결론부터 말하면 저 한글 메시지는 실패 시 뜨는 범용 안내 문구일 뿐이고, 진짜 원인은 그 밑에 깔린 로그 한 ..

iOS 앱 보안점검 중인데 Flutter로 만든 앱이고, 네이티브(Swift) 영역은 Flutter 호출하는 부분만 있어서 개발부서가 "비즈니스 로직이 없으니 난독화할 필요 없다"고 주장한다면? 이 답변을 그대로 받아 양호 처리해도 되는지 아래 기준으로 판단하면 됩니다.결론만 말하자면, 개발부서 답변만으로는 양호 처리하면 안 되지만, 바이너리를 직접 확인한 후라면 양호가 될 수 있습니다.차이는 판정 근거입니다.❌ "개발부서가 기능이 적다고 답변함" → 진술 기반, 재점검·감사에서 근거 불충분 지적⭕ "점검자가 바이너리 확인 결과 노출 자산 없음" → 검증 기반, 양호 처리 가능취약점 점검에서 개발부서 답변은 소명이지 증적이 아닙니다.📦 먼저: Flutter 앱은 바이너리가 두 개다구조부터 정리하고 가야..