AEGISonar 보안 인사이트

KCSCON 2026 웨비즘 발표 영상 공개

AEGISonar — Mon, 21 Sep 2026 14:39:53 +0900

지난 9월 8일 KCSCON 2026에서 진행된 웨비즘 전상훈 대표의 발표 영상이 DailySECU 유튜브 채널에 공개되었습니다.

발표 제목은 「AI 해커의 5분 침투 - 경계조차 모르는 방어선, 5초를 견딜까?」입니다.

앞선 발표 후기에서는 현장 소식과 발표의 주요 내용을 소개했습니다. 이번 글에서는 같은 내용을 다시 요약하지 않고, 전체 발표를 직접 보실 수 있도록 영상을 안내드립니다.

현장에 참석하지 못하셨거나 발표를 다시 보고 싶은 분이라면, 짧은 요약만으로는 전달하기 어려웠던 발표의 흐름과 현장 설명, 슬라이드의 맥락을 영상으로 확인해 보시기 바랍니다.

전체 발표 영상 보기
https://youtu.be/2HFzhWMYaLQ?si=y7rpuTxIdFXaEpXW

KCSCON 2026 현장에서 함께해 주신 분들께 다시 한번 감사드립니다.

API 보안 취약점은 한 겹만 봐서는 놓치기 쉽습니다

AEGISonar — Fri, 18 Sep 2026 14:23:38 +0900

API가 정상적으로 응답하고 눈에 띄는 오류도 없다면 안전한 걸까요?

그렇게 판단하기는 어렵습니다.

API는 서비스의 데이터와 기능을 직접 연결합니다. 겉으로는 정상적인 요청처럼 보여도 그 안에서는 다른 사용자의 데이터가 반환되거나, 일반 사용자에게 관리 기능이 열리거나, 내부 구조와 설정 정보가 예상보다 많이 드러날 수 있습니다.

API 보안 취약점은 한 가지 화면이나 한 번의 응답만 보고 판단하기 어렵습니다.

경로, 파라미터, 권한, 설정, 통신 방식과 실제 응답을 여러 층에서 함께 봐야 합니다.

먼저 무엇이 외부에 보이는지 확인해야 합니다

API 점검은 외부에서 확인되는 접점을 파악하는 일부터 시작합니다.

운영 중인 호스트와 API 경로, 요청 메서드와 파라미터를 확인하고, 프런트엔드 JavaScript 번들과 라우터, Swagger·OpenAPI 문서, GraphQL 스키마, 오류 응답과 관리용 경로에서 추가 후보를 찾아야 합니다.

오래된 API 버전이나 테스트 엔드포인트가 남아 있을 수도 있고, 담당자가 관리 대상이라고 인지하지 못한 경로가 실제 서비스처럼 응답할 수도 있습니다.

그러나 경로를 많이 찾았다고 점검이 끝나는 것은 아닙니다.

발견한 API가 어떤 조건에서 어떤 데이터와 기능을 제공하는지 더 면밀히 확인해야 합니다.

권한 검사는 객체와 기능을 나누어 봐야 합니다

API에서 특히 주의해야 할 부분은 인증 이후의 인가입니다.

로그인에 성공했더라도 사용자가 모든 데이터와 기능에 접근할 수 있는 것은 아닙니다.

주문번호나 사용자 식별자를 바꿨을 때 다른 사람의 데이터가 반환되는지, 일반 사용자가 관리자용 API를 호출해 실제 데이터나 기능에 접근할 수 있는지 확인해야 합니다.

BOLA는 요청한 사용자가 해당 객체를 조회·변경·삭제할 권한이 있는지를 제대로 검증하지 않을 때 발생할 수 있습니다. BFLA는 사용자 역할에 허용되지 않은 관리 기능이나 내부 기능이 실행될 때 문제가 됩니다.

경로 이름을 숨기거나 화면에서 메뉴를 감추는 것은 권한 검사를 대신하지 못합니다. 서버가 요청마다 사용자·대상 객체·기능의 관계를 확인해야 합니다.

외부에 드러난 정보가 공격의 단서가 될 수 있습니다

API 자체뿐 아니라 주변에 노출된 파일과 관리 정보도 함께 살펴야 합니다.

소스맵에는 원본 코드의 일부와 파일 경로, 주석, 내부 API 구조가 포함될 수 있습니다. 관리 엔드포인트와 오류 응답에는 환경 설정이나 프레임워크 정보가 나타날 수 있고, 클라이언트 번들에는 외부에 공개하면 안 되는 토큰이나 내부 경로가 남아 있을 수 있습니다.

백업 파일, 공개 스토리지, 내부 작업 문서가 웹 경로에 방치돼 있다면 API 구조와 데이터 흐름을 이해하는 단서가 될 수도 있습니다.

다만 외부에서 보인다는 사실만으로 모두 취약점이라고 단정해서는 안 됩니다.

공개 목적이 있는 문서인지, 실제 비밀정보가 포함됐는지, 인증 없이 접근 가능한지, 노출된 정보로 어떤 행위가 가능한지를 함께 확인해야 합니다.

설정과 통신 방식도 실제 동작으로 확인해야 합니다

CORS, HTTP 메서드, Host와 X-Forwarded-Host 처리, WebSocket, 보안 응답 헤더도 API 보안 상태를 판단하는 중요한 단서입니다.

하지만 특정 헤더가 보이거나 메서드가 열려 있다는 이유만으로 취약점이 확정되는 것은 아닙니다.

허용되지 않은 Origin에서 인증된 데이터에 접근할 수 있는지, 메서드를 바꿨을 때 인증·인가 검사를 우회하거나 의도하지 않은 상태 변경이 가능한지, 호스트 헤더가 링크 생성과 라우팅 판단을 왜곡하는지처럼 실제 영향을 확인해야 합니다.

암호화되지 않았거나 인증 절차가 부족한 WebSocket 채널, 내부 클래스명과 쿼리 정보가 드러나는 상세 오류 응답도 같은 방식으로 살펴야 합니다.

면밀한 점검은 여러 신호를 연결해 판단하는 일입니다

API 보안은 취약점 이름을 많이 붙이는 일이 아닙니다.

다음 질문에 근거를 갖고 답할 수 있어야 합니다.

- 외부에서 어떤 API와 관리 경로가 보이는가
- 각 요청은 어떤 인증과 권한 조건을 거치는가
- 다른 사용자의 데이터나 허용되지 않은 기능에 접근할 수 있는가
- 명세·소스·설정·오류 응답에서 민감정보가 드러나는가
- 통신 정책과 허용 메서드가 의도한 보안 기준과 일치하는가
- 문제가 발견됐다면 조치 후 실제 응답이 달라졌는가

하나의 신호만 떼어 보면 정상처럼 보일 수 있습니다. 여러 층의 조건과 응답을 연결해서 봐야 실제 위험을 놓치지 않을 수 있습니다.

점검 결과에는 발견한 경로와 요청 조건, 응답의 차이, 판단 근거가 함께 남아야 합니다. 그래야 담당자가 문제를 이해하고 조치한 뒤 같은 조건으로 다시 확인할 수 있습니다.

AEGISonar는 외부 공격표면의 발견과 Application Layer 점검, 취약점 설명과 조치 가이드, 재점검을 하나의 운영 흐름으로 연결합니다.

API 보안 역시 겉으로 드러난 주소만 모으는 데서 끝나지 않아야 합니다. 권한·설정·노출 정보·통신 방식과 실제 응답을 세밀하게 확인하고, 발견 근거가 조치와 재점검으로 이어져야 합니다.

API 보안 취약점은 한 겹만 봐서는 놓치기 쉽습니다.

중요한 것은 더 많은 경보가 아니라, 서로 다른 신호를 면밀하게 확인해 실제 위험을 구분하는 것입니다.

AEGISonar 살펴보기
https://aegisonar.com/

참고 기준
OWASP API Security Top 10 2023
https://owasp.org/www-project-api-security/

보안 수준은 등급이 아니라, 계속 확인할 수 있는 근거입니다

AEGISonar — Wed, 16 Sep 2026 12:10:26 +0900

보안 점검에서 높은 등급을 받으면 이제 안심해도 될까요?

등급과 점수는 복잡한 점검 결과를 한눈에 이해하는 데 유용합니다. 그러나 그것은 특정 시점과 정해진 범위에서 확인한 상태를 요약한 값입니다. 이후의 안전까지 보장하는 결론은 아닙니다.

보안은 평가가 끝난 순간에도 계속 변하고 있기 때문입니다.

등급은 특정 시점의 상태를 요약합니다

보안 등급 자체가 불필요한 것은 아닙니다. 여러 점검 항목을 공통 기준으로 정리하고 현재 상태를 빠르게 공유하는 데 도움이 됩니다.

다만 등급을 제대로 이해하려면 그 결과가 만들어진 조건도 함께 봐야 합니다.

- 어떤 자산과 서비스를 점검했는가
- 어느 시점의 상태를 확인했는가
- 어떤 기준과 범위가 적용됐는가
- 점검 이후 무엇이 변경됐는가

이 정보가 빠진 등급은 현재의 보안 수준을 충분히 설명하기 어렵습니다. 점수는 결과를 압축하지만, 결과가 만들어진 과정까지 대신해 주지는 못합니다.

평가 이후에도 시스템은 계속 바뀝니다

서비스에는 새로운 코드가 배포되고 설정이 달라집니다. 라이브러리가 업데이트되고 새로운 도메인·서브도메인·웹서비스·API가 추가됩니다. 외부 솔루션이나 테스트 환경이 연결되기도 하고, 사용이 끝난 자산이 인터넷에 남기도 합니다.

이처럼 코드와 설정, 배포 환경, 외부 접점이 달라지면 공격표면도 함께 달라집니다.

어제 확인한 결과가 틀렸다는 뜻은 아닙니다. 어제의 결과만으로 오늘의 상태를 모두 설명할 수 없다는 뜻입니다.

따라서 보안 수준을 판단할 때는 과거에 어떤 등급을 받았는지만이 아니라, 그 이후의 변화를 발견하고 다시 확인할 수 있는지를 함께 봐야 합니다.

보안 수준을 보여주는 것은 근거의 연속입니다

조직이 현재의 보안 상태를 설명하려면 다음 질문에 답할 수 있어야 합니다.

- 무엇을 언제 점검했는가
- 어떤 문제가 발견됐는가
- 발견된 문제를 어떻게 조치했는가
- 조치 이후 실제로 문제가 해결됐는가
- 점검 이후 새롭게 추가되거나 변경된 접점은 없는가

이 질문에 답할 수 있도록 점검 결과와 조치 이력, 재점검 결과가 연결돼야 합니다.

좋은 보안 운영은 “우리는 안전합니다”라고 선언하는 데서 끝나지 않습니다. 무엇을 확인했고, 무엇을 고쳤으며, 변화 이후 어떻게 다시 확인했는지를 보여줄 수 있어야 합니다.

발견에서 재점검까지 이어져야 합니다

보안 운영은 한 번의 평가가 아니라 반복되는 과정입니다.

변화를 발견하고, 현재 상태를 점검하고, 확인된 문제를 조치한 뒤, 조치 결과를 다시 확인해야 합니다. 이후에도 새로운 자산과 설정 변화가 생기지 않았는지 계속 살펴야 합니다.

변화 발견 → 상태 점검 → 위험 조치 → 결과 재점검 → 다음 변화 확인

이 흐름이 이어질 때 보안 수준은 일회성 점수가 아니라 시간이 지나도 확인할 수 있는 근거로 남습니다.

보안에 대한 신뢰는 높은 등급 하나보다 이러한 과정에서 만들어집니다. 문제가 없다고 단정하는 조직보다, 변화와 문제를 발견하고 조치 과정까지 설명할 수 있는 조직을 더 신뢰할 수 있는 이유입니다.

웨비즘은 보안을 이러한 지속적인 운영의 관점에서 바라봅니다.

AEGISonar도 도메인·서브도메인·IP·웹서비스 등 외부 접점의 변화를 발견하고, 현재 상태를 점검하며, 확인된 문제의 조치와 재점검이 하나의 흐름으로 이어지도록 설계됐습니다.

제품보다 먼저 중요한 것은 보안을 바라보는 기준입니다.

보안은 한 번 획득하고 보관하는 등급이 아닙니다. 지금의 상태를 설명하고, 변화 이후에도 다시 확인할 수 있는 근거가 진짜 보안 수준입니다.

AEGISonar 살펴보기
https://aegisonar.com/

이지소나(AEGISonar) | CTEM·Application Layer(L7) EASM 플랫폼

이지소나(AEGISonar)는 외부 웹 자산과 공개 API를 지속적으로 탐지·점검·관리하고 취약점·노출 결과를 조치·증적 운영으로 연결하는 CTEM·Application Layer(L7) EASM 플랫폼입니다.

aegisonar.com

AI 에이전트의 산출물 보안, AEGISonar로 점검하세요✅

AEGISonar — Mon, 14 Sep 2026 13:52:54 +0900

AI와 함께 개발하셨나요?

이제 AI 에이전트의 메모리와 산출물도 점검해야 합니다.

AEGISonar 탐지 항목에

‘AI 에이전트 지침 및 산출물 노출’ 점검을 추가했습니다!

CLAUDE.md, AGENTS.md, .cursorrules, memory-bank/, .aider.chat.history.md 같은 파일에는 AI가 참고한 프로젝트 지침과 작업 맥락, 메모리, 대화 기록이 남을 수 있습니다.

개발할 때는 유용하지만 인터넷에 그대로 노출되면 서비스 구조와 내부 로직은 물론, 대화 중 입력된 민감정보까지 공격자에게 단서가 될 수 있습니다.

AEGISonar는 외부에 공개된 AI 에이전트 지침·메모리·대화록·작업 산출물을 새로운 점검 항목으로 확인합니다.

홈페이지 무료 빠른 점검에서도 직접 체험해 보세요.

지금 바로 점검하기

https://aegisonar.com/ko/free-audit

AEGISonar의 무료 빠른 점검 기능을 소개합니다

AEGISonar — Mon, 14 Sep 2026 13:48:49 +0900

AEGISonar 홈페이지에 무료 빠른 점검 기능을 추가했습니다!

우리 도메인은 인터넷에서 어떻게 보일까요?

점검할 도메인을 입력하면 공개 호스트·서브도메인, 탈취 검토 후보, 민감 경로 노출, API·보안 정책 노출, 외부 유출·침해 신호를 빠르게 확인할 수 있습니다.

각 항목의 취약 신호 건수를 한눈에 확인하고,

더 자세히 보고 싶다면 회사 이메일로 인증 후 상세 리포트를 다운로드해 보세요.

빠른 점검은 AEGISonar의 일부 기능을 가볍게 경험하는 시작점입니다.

더 넓은 자산 범위와 Application Layer·Shadow IT 정밀 점검을 위해 AEGISonar 도입을 검토해보세요.

지금 바로 확인해 보세요.

https://aegisonar.com/ko/free-audit

서비스 종료 ≠ 신뢰 종료 - CISO Fact Check 04 -

AEGISonar — Mon, 14 Sep 2026 13:38:11 +0900

서비스는 종료됐는데,

공식 도메인의 신뢰는 그대로 남아 있을 수 있습니다.

클라우드나 외부 서비스를 해제한 뒤 DNS의 CNAME 레코드를 지우지 않으면, 공식 서브도메인이 더 이상 소유하지 않는 자원을 계속 가리킬 수 있습니다.

이 상태가 곧바로 탈취를 의미하는 것은 아닙니다. 다만 외부 사업자의 자원 재등록 조건에 따라 제3자가 연결 대상을 선점할 수 있는 Subdomain Takeover 위험으로 이어질 수 있습니다.

AEGISonar는 External Threat Intelligence에서 소유권 검토가 필요한 Subdomain Takeover 가능 신호를 확인하고, 도메인·DNS 기반으로 발견한 인터넷 접점과 함께 검토하도록 지원합니다.

서비스 종료는

DNS 정리까지 끝나야 완료됩니다.

공격자는 버전표가 아니라 실제 웹을 두드립니다 - CISO Fact Check 03 -

AEGISonar — Mon, 14 Sep 2026 13:35:53 +0900

공격자는 버전표를 읽고 멈추지 않습니다.

실제 웹에 요청을 보내고 반응하는 지점을 찾습니다.

SQL Injection은 서버 배너나 제품 버전만으로 판단할 수 없습니다.

웹 파라미터에 허가된 테스트 입력을 보내고, 응답의 변화와 오류 신호를 확인해야 취약점 가능성을 구체적으로 점검할 수 있습니다.

AEGISonar는 관리 대상으로 등록한 웹을 Application Layer에서 점검하고, 발견된 취약점의 유형과 심각도, 상세 정보를 제공합니다.

버전 정보 다음에는

실제 웹의 동작을 확인해야 합니다.

CVE 경고 ≠ 실제 취약점 판정 - CISO Fact Check 02 -

AEGISonar — Mon, 14 Sep 2026 13:32:28 +0900

CVE 경고가 떴는데 실제 적용 대상이 아닐 수 있고,

경고가 없는데도 웹은 취약할 수 있습니다.

CVE와 버전 정보는 알려진 취약점의 영향 가능성을 빠르게 좁히는 중요한 기준입니다.

다만 실제 영향 여부는 적용된 패치와 백포트, 서비스 설정, 외부 노출 경로에 따라 달라질 수 있습니다.

반대로 SQL Injection이나 접근 통제 오류, 민감한 엔드포인트 노출처럼 버전 정보만으로 설명하기 어려운 문제도 있습니다.

그래서 버전 매칭에서 멈추지 않고,

현재 운영 중인 웹의 응답과 동작을 함께 확인해야 합니다.

위협정보는 봤습니다. 우리 웹은 봤습니까? - CISO Fact Check 01 -

AEGISonar — Mon, 14 Sep 2026 13:11:23 +0900

전 세계 공격은 실시간으로 분석하면서,

정작 우리 웹사이트 어디가 뚫리는지는 모르는 보안이 있습니다.

위협 인텔리전스는 공격 캠페인과 악용 동향, 침해지표 등 외부에서 벌어지는 일을 이해하는 데 필요합니다.

그러나 그 정보만으로 특정 도메인과 API가 현재 어떤 취약점을 드러내고 있는지까지 알 수는 없습니다.

AEGISonar는 관리 대상 웹을 Application Layer에서 점검해 외부 요청에 드러나는 취약점 신호와 보안 상태를 확인하도록 지원합니다.

위협정보는 봤습니다.

우리 웹은 봤습니까?

웨비즘 공식 블로그를 소개합니다.

AEGISonar — Mon, 14 Sep 2026 13:10:20 +0900

안녕하세요. 웨비즘 공식 티스토리 블로그입니다.

웨비즘은 외부에서 관측되는 기업의 인터넷 접점을 발견하고 보안 상태를 점검하는 외부 공격표면 보안 전문 기업입니다.

주요 제품인 AEGISonar는 도메인·서브도메인·IP·웹서비스 등 조직의 외부 공격표면을 지속적으로 발견하고, 웹과 API의 취약점 및 외부 노출 신호를 점검합니다. 발견된 문제는 수정 가이드와 재점검 과정까지 연결하여 지속적인 보안 운영을 지원합니다.

이 블로그에서는 다음과 같은 소식을 전해드릴 예정입니다.

웨비즘과 AEGISonar의 새로운 소식
제품 기능과 활용 방법
외부 공격표면 관리와 웹 보안 정보
보안 위협 및 취약점 관련 인사이트
컨퍼런스·세미나 등 행사 소식
제품 시연 및 관련 자료

공식 채널

웨비즘 회사 홈페이지
webeasm.com
AEGISonar 홈페이지
aegisonar.com
Facebook 페이지
https://www.facebook.com/easm4web/
문의
이메일: info@webeasm.com

회사 위치

서울 성동구 성수동2가 333-140 서울숲코오롱디지털타워2차 1104호

서울숲코오롱디지털타워2차 서울 성동구 성수이로7길 27

웨비즘과 AEGISonar의 새로운 소식과 유용한 보안 정보를 이곳에서 꾸준히 전해드리겠습니다.

감사합니다.

웨비즘 드림.