홈페이지 취약점 점검은 사이트가 공격에 쓰일 틈을 찾아 고치는 일입니다. 이 가이드는 기관이 쓰는 점검 항목을 기준으로, 운영자가 직접 해 볼 수 있는 것과 전문 진단에 맡길 것을 나눠 정리한 자가 점검 매뉴얼입니다.
한국인터넷진흥원(KISA)의 「주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」 웹 애플리케이션 장에는 21개 항목이 있습니다. 흔히 웹 취약점 표준 점검 항목이라 부르는 목록입니다. 아래 표는 디코가드가 항목마다 바깥에서 확인할 수 있는지 맞대 본 것이며, KISA 공식 판정은 아닙니다.
| 구분 | 항목(코드) |
|---|---|
| 바깥에서 일부 확인 (8) | 디렉터리 인덱싱(DI), 에러 페이지 적용 미흡(EP), 정보 누출(IL), CSRF(CF), 불충분한 세션 관리(IS), 데이터 평문 전송(SN), 관리자 페이지 노출(AE), 불필요한 Method(WM) |
| 직접 써 봐야 확인 (2) | 약한 비밀번호 정책(BF), 취약한 비밀번호 복구 절차(PR) |
| 정식 진단 영역 (11) | 코드 인젝션(CI), SQL 인젝션(SI), 크로스사이트 스크립트(XS), SSRF(SF), 불충분한 인증 절차(IA), 불충분한 권한 검증(IN), 프로세스 검증 누락(PV), 악성 파일 업로드(FU), 파일 다운로드(FD), 쿠키 변조(CC), 자동화 공격(AU) |
항목별 판단 기준과 점검 방법을 자세히 다룬 문서는 KISA 상세가이드입니다. KISA 누리집 자료실에서 받을 수 있습니다.
디코가드에서는 사이트 소유를 확인하면 공개 파일 묶음·허용 요청 방식·관리자 주소까지 보는 정밀 점검이 열립니다.
결과서의 항목 코드(예: SN, IL, AE)를 디코가드 결과 화면의 「기관 점검 기준 대응표」와 맞대 보세요. 같은 코드 줄에서 고칠 것과 조치 방법을 볼 수 있습니다. 고친 뒤 다시 점검한 보고서는 PDF 로 받을 수 있습니다(무료 회원).
기본 점검은 누구나 볼 수 있는 응답만 읽어서 부담이 거의 없습니다. 조작한 입력을 보내는 진단은 하지 않습니다.
아니요. 기관 점검 전에 바깥에서 보이는 문제를 먼저 고치는 용도입니다. 정식 진단 영역 11개 항목은 전문 진단이 필요합니다.
기본 점검은 무료입니다. 기관 제출용 보고서는 무료 회원 가입 뒤 받습니다. 조치와 정기 관리는 결과를 보고 견적을 드립니다.
기본 점검은 공개 정보만 읽습니다. 정밀 점검은 소유를 확인한 사이트에서만 열립니다.
아니요. 직접 한 점검은 그때 한 번만입니다. 소유를 확인한 도메인에 정기 점검(주간·월간)을 켜면 그때부터 자동으로 점검하고 알림 메일을 보냅니다.
없습니다. 정기 점검은 소유를 확인한 도메인만 됩니다. 남의 사이트는 한 번씩 하는 기본 점검만 할 수 있습니다.
켜 둔 알림 조건에 맞을 때 메일을 보냅니다. 첫 정기 점검은 견줄 지난 결과가 없어 점수 하락·새 항목은 따지지 않습니다.
점검 전마다 소유 확인 값(DNS TXT·확인 파일)을 다시 보는데, 두 번 연속 찾지 못하면 멈춥니다. 확인 값을 다시 넣은 뒤 정기 점검 화면에서 다시 켜면 됩니다.
디코가드는 W3C 검사기의 오류·경고를 같은 종류끼리 묶어 보여 주고, 안내(info)는 건수만 따로 적습니다. 결과 화면의 「W3C 원본 순서로 보기」를 누르면 묶지 않고 줄 순서대로 원문을 볼 수 있습니다. 디코가드는 점검 때 처음 받은 HTML 을, W3C 검사기는 누른 시각에 다시 받은 HTML 을 검사하므로 건수가 조금 다를 수 있습니다.
들어가지 않습니다. 웹 표준 결과는 참고용이며 점수·등급·보고서에 넣지 않습니다.
회원은 「내 점검 내역」이나 결과 화면에서 지울 수 있습니다. 정기 점검 비교나 청구에 쓰인 기록은 목록에서만 지우고, 보관 기간(상세 1년)이 지나면 지웁니다. 예시 결과로 쓰는 점검은 지울 수 없습니다.