웹사이트 보안 진단 보고서 · PUBLIC SCAN · 2026-09-02 00:19:47 · 9.9초
쓰리웨이 | 홈페이지 제작 전문 | 15년 연속 웹어워드 수상 웹에이전시
www.web2002.co.kr
B종합 89점
1. 진단 개요
| 진단 대상 | https://www.web2002.co.kr/ |
| 도메인 | www.web2002.co.kr |
| 진단 모드 | 간편 진단 (Public Scan) |
| 진단 일시 | 2026-09-02 00:19:47 |
| 진단 방식 | Public Security Scan (비파괴) |
| 진단 페이지 수 | 31 |
| 점검 Rule 수 | 160개 (평가 148 · 확인불가 12) |
| 적용 기준 | OWASP Top10:2025 / WSTG / CWE / CVE / CVSS 4.0 |
| 진단 ID | 6 |
2. 종합 진단 결과
SECURITY SCORE
89 / 100
B 등급
1
치명적
2
높음
7
보통
12
낮음
32
정보
3. 종합 평가
분석 결과 웹 보안 종합 점수는 89/100(B등급)입니다. 기본적인 보안 설정은 대체로 갖추어져 있습니다. 특히 우선순위가 높은 3개 문제를 먼저 조치하는 것을 권장합니다. 본 결과는 외부 공개정보 기반 비파괴 진단이며, 공개 스캔으로 확인 불가한 12개 항목은 '확인 불가(NOT_TESTED)'로 별도 표기했습니다.
4. 분야별 점수 및 검사 커버리지
커버리지 = 공개 스캔으로 실제 평가한 항목 수 / 전체 항목 수. (확인 불가 항목은 점수에서 제외)
| 진단 분야 | 점수 | 수준 | 평가 | 커버리지 |
|---|---|---|---|---|
| DNS · 도메인 | 85점 | 양호 | 14/15 | |
| 전송 · TLS | 65점 | 개선 필요 | 18/20 | |
| HTTP 프로토콜 | 100점 | 매우 양호 | 19/20 | |
| 보안 응답 헤더 | 89점 | 양호 | 19/25 | |
| 쿠키 | 85점 | 양호 | 10/10 | |
| 웹 표준 · 공개파일 | 100점 | 매우 양호 | 9/10 | |
| 기술스택 · 의존성 | 98점 | 매우 양호 | 15/15 | |
| JavaScript | 95점 | 매우 양호 | 15/15 | |
| 입력 폼 | 100점 | 매우 양호 | 9/10 | |
| 정보 노출 | 100점 | 매우 양호 | 10/10 | |
| 서드파티 · 공급망 | 98점 | 매우 양호 | 10/10 |
5. 주요 발견사항 (우선 조치)
| 순위 | Rule | 진단 항목 | 위험도 | 결과 / 조치 |
|---|---|---|---|---|
| 1 | TLS-013 | NULL/EXPORT Cipher 비활성화 근거: OWASP A04:2025 · WSTG Weak Cryptography · CWE-327 |
치명적 | NULL/EXPORT 지원됨 → 조치: NULL/EXPORT Cipher를 즉시 제거합니다. |
| 2 | TLS-010 | 취약 Cipher 비활성화 근거: OWASP A04:2025 · WSTG Weak Cryptography · CWE-327 |
높음 | 취약 cipher 지원 → 조치: 약한 Cipher Suite를 제거하고 현대적 구성을 적용합니다. |
| 3 | CK-001 | Secure 속성 근거: OWASP A07:2025 · WSTG Session Management · CWE-614 |
높음 | Secure 누락 → 조치: HTTPS에서만 전송되도록 Secure를 적용합니다. |
| 4 | DNS-004 | SPF 레코드 존재 근거: OWASP A02:2025 · WSTG Configuration Testing |
보통 | SPF 없음 → 조치: 허용 발신 서버를 정의한 SPF 정책을 설정합니다. |
| 5 | DNS-006 | DMARC 레코드 존재 근거: OWASP A02:2025 · WSTG Configuration Testing |
보통 | DMARC 없음 → 조치: DMARC 레코드를 추가하고 단계적으로 정책을 강화합니다. |
| 6 | DNS-009 | NS 이중화 근거: OWASP A06:2025 · WSTG Configuration Testing |
보통 | NS 이중화 부족 → 조치: 장애 대비를 위해 권한 네임서버를 2개 이상 운영합니다. |
| 7 | HDR-001 | Content-Security-Policy 존재 근거: OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
보통 | CSP 없음 → 조치: 서비스 구조에 맞는 CSP를 단계적으로 적용합니다. |
| 8 | HDR-008 | HSTS 적용 근거: OWASP A04:2025 · WSTG Configuration Testing · CWE-319 |
보통 | HSTS 없음 → 조치: 충분한 테스트 후 HSTS를 적용합니다. |
6. 조치 후 예상 점수
89 B
+11점 →
100 A
우선 3건 조치 시 예상
7. 분야별 상세 점검 결과
상태: 통과 / 문제 / 주의 / 참고 / 확인 불가(공개 스캔 범위 밖)
DNS · 도메인 — 85점 · 양호 (평가 14/15)
| Rule | 항목 | 상태 | 확인된 값 / 조치 | 근거 |
|---|---|---|---|---|
| DNS-001 | 도메인 DNS 조회 가능 | ✓ 통과 | A/AAAA 1개 | OWASP A02:2025 · WSTG Information Gathering |
| DNS-002 | 사설 IP 노출 여부 | ✓ 통과 | 공인 IP만 반환 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| DNS-003 | DNSSEC 적용 여부 | ✗ 낮음 | DNSKEY 없음(DNSSEC 미적용) → DNS 위변조 방지를 위해 DNSSEC 적용을 검토합니다. |
OWASP A08:2025 · WSTG Configuration Testing |
| DNS-004 | SPF 레코드 존재 | ✗ 보통 | SPF 없음 → 허용 발신 서버를 정의한 SPF 정책을 설정합니다. |
OWASP A02:2025 · WSTG Configuration Testing |
| DNS-005 | SPF 과도한 허용 | – 확인 불가 | SPF 없음 | OWASP A02:2025 · WSTG Configuration Testing · CWE-284 |
| DNS-006 | DMARC 레코드 존재 | ✗ 보통 | DMARC 없음 → DMARC 레코드를 추가하고 단계적으로 정책을 강화합니다. |
OWASP A02:2025 · WSTG Configuration Testing |
| DNS-007 | DMARC 보호수준 | ✗ 낮음 | policy=없음 → 모니터링 후 p=quarantine 또는 reject 적용을 검토합니다. |
OWASP A02:2025 · WSTG Configuration Testing |
| DNS-008 | CAA 레코드 존재 | ✗ 낮음 | CAA 없음 → CAA로 허용할 인증기관을 제한하는 것을 권장합니다. |
OWASP A04:2025 · WSTG Cryptography Testing |
| DNS-009 | NS 이중화 | ✗ 보통 | NS 이중화 부족 → 장애 대비를 위해 권한 네임서버를 2개 이상 운영합니다. |
OWASP A06:2025 · WSTG Configuration Testing |
| DNS-010 | MX 설정 정상 | · 참고 | MX 없음(메일 미사용 추정) | OWASP A02:2025 · WSTG Information Gathering |
| DNS-011 | 와일드카드 DNS 노출 | ✓ 통과 | 와일드카드 없음 | OWASP A02:2025 · WSTG Information Gathering |
| DNS-012 | WWW/루트 도메인 일관성 | ✓ 통과 | root/www 모두 정상 응답 | OWASP A02:2025 · WSTG Configuration Testing |
| DNS-013 | CNAME 체인 과다 | ✓ 통과 | CNAME 체인 0 | OWASP A06:2025 · WSTG Information Gathering |
| DNS-014 | Dangling CNAME 징후 | ✓ 통과 | Dangling CNAME 없음 | OWASP A01:2025 · WSTG Configuration Testing · CWE-284 |
| DNS-015 | IPv6 서비스 일관성 | · 참고 | IPv6 미설정 | OWASP A02:2025 · WSTG Configuration Testing |
전송 · TLS — 65점 · 개선 필요 (평가 18/20)
| Rule | 항목 | 상태 | 확인된 값 / 조치 | 근거 |
|---|---|---|---|---|
| TLS-001 | HTTPS 지원 | ✓ 통과 | HTTPS(443) 정상 | OWASP A04:2025 · WSTG Weak Cryptography · CWE-319 |
| TLS-002 | HTTP→HTTPS 강제전환 | ✓ 통과 | 301/308 강제전환 | OWASP A04:2025 · WSTG Weak Cryptography · CWE-319 |
| TLS-003 | 인증서 유효성 | ✓ 통과 | 인증서 유효·신뢰 | OWASP A04:2025 · WSTG Weak Cryptography · CWE-295 |
| TLS-004 | 인증서 만료 임박 | ✓ 통과 | 만료 186일 전 | OWASP A04:2025 · WSTG Weak Cryptography |
| TLS-005 | Hostname 일치 | ✓ 통과 | hostname 일치 | OWASP A04:2025 · WSTG Weak Cryptography · CWE-297 |
| TLS-006 | TLS 1.0 비활성화 | ✓ 통과 | TLS1.0 비활성 | OWASP A04:2025 · WSTG Weak Cryptography · CWE-326 |
| TLS-007 | TLS 1.1 비활성화 | ✓ 통과 | TLS1.1 비활성 | OWASP A04:2025 · WSTG Weak Cryptography · CWE-326 |
| TLS-008 | TLS 1.2 지원 | ✓ 통과 | TLS1.2/1.3 지원 | OWASP A04:2025 · WSTG Weak Cryptography |
| TLS-009 | TLS 1.3 지원 | ✓ 통과 | TLS1.3 지원 | OWASP A04:2025 · WSTG Weak Cryptography |
| TLS-010 | 취약 Cipher 비활성화 | ✗ 높음 | 취약 cipher 지원 → 약한 Cipher Suite를 제거하고 현대적 구성을 적용합니다. |
OWASP A04:2025 · WSTG Weak Cryptography · CWE-327 |
| TLS-011 | RC4 비활성화 | – 확인 불가 | RC4 테스트 불가(클라이언트 미지원) | OWASP A04:2025 · WSTG Weak Cryptography · CWE-327 |
| TLS-012 | 3DES 비활성화 | – 확인 불가 | 3DES 테스트 불가(클라이언트 미지원) | OWASP A04:2025 · WSTG Weak Cryptography · CWE-327 |
| TLS-013 | NULL/EXPORT Cipher 비활성화 | ✗ 치명적 | NULL/EXPORT 지원됨 → NULL/EXPORT Cipher를 즉시 제거합니다. |
OWASP A04:2025 · WSTG Weak Cryptography · CWE-327 |
| TLS-014 | 인증서 체인 완전성 | ✓ 통과 | 체인 완전 | OWASP A04:2025 · WSTG Weak Cryptography · CWE-295 |
| TLS-015 | 자가서명 인증서 여부 | ✓ 통과 | 자가서명 아님 | OWASP A04:2025 · WSTG Weak Cryptography · CWE-295 |
| TLS-016 | 약한 서명 알고리즘 | ✓ 통과 | 서명 알고리즘 sha256 | OWASP A04:2025 · WSTG Weak Cryptography · CWE-327 |
| TLS-017 | 약한 공개키 크기 | ✓ 통과 | RSA 2048bit | OWASP A04:2025 · WSTG Weak Cryptography · CWE-326 |
| TLS-018 | OCSP/상태 정보 | ⚠ 주의 | 폐기 상태 확인 불가(OCSP 미수집) | OWASP A04:2025 · WSTG Weak Cryptography · CWE-295 |
| TLS-019 | SNI 정상 처리 | ✓ 통과 | SNI 정상 | OWASP A02:2025 · WSTG Configuration Testing |
| TLS-020 | Mixed Content | ✓ 통과 | 혼합 콘텐츠 없음 | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
HTTP 프로토콜 — 100점 · 매우 양호 (평가 19/20)
| Rule | 항목 | 상태 | 확인된 값 / 조치 | 근거 |
|---|---|---|---|---|
| HTTP-001 | 서버 버전 노출 | ✓ 통과 | 버전 미노출 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| HTTP-002 | X-Powered-By 노출 | ✓ 통과 | 노출 없음 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| HTTP-003 | TRACE Method | ✓ 통과 | TRACE 비활성 | OWASP A02:2025 · WSTG Configuration Testing · CWE-749 |
| HTTP-004 | 불필요 HTTP Method 노출 | – 확인 불가 | Allow 헤더 없음 | OWASP A02:2025 · WSTG Configuration Testing · CWE-749 |
| HTTP-005 | HTTP 응답 압축 | · 참고 | 압축 설정 참고 | OWASP A06:2025 · WSTG Configuration Testing |
| HTTP-006 | 민감 페이지 캐시 방지 | ✓ 통과 | 민감 페이지 미검출 | OWASP A02:2025 · WSTG Configuration Testing · CWE-525 |
| HTTP-007 | 오류 페이지 상태코드 | ✓ 통과 | 404 상태=404 | OWASP A10:2025 · WSTG Error Handling |
| HTTP-008 | 5xx 상세정보 노출 | ✓ 통과 | 상세정보 미노출 | OWASP A10:2025 · WSTG Error Handling · CWE-209 |
| HTTP-009 | Content-Type 명시 | ✓ 통과 | text/html; charset=utf-8 | OWASP A02:2025 · WSTG Configuration Testing · CWE-436 |
| HTTP-010 | Charset 명시 | ✓ 통과 | charset 명시 | OWASP A02:2025 · WSTG Configuration Testing |
| HTTP-011 | Canonical HTTPS URL | · 참고 | canonical 없음 | OWASP A02:2025 · WSTG Information Gathering |
| HTTP-012 | 리다이렉트 체인 과다 | ✓ 통과 | 리다이렉트 과다 아님 | OWASP A06:2025 · WSTG Configuration Testing |
| HTTP-013 | 외부 오픈 리다이렉트 징후 | · 참고 | 특이 패턴 없음 | OWASP A01:2025 · WSTG Input Validation · CWE-601 |
| HTTP-014 | Directory Listing 노출 | ✓ 통과 | 디렉터리 리스팅 없음 | OWASP A02:2025 · WSTG Configuration Testing · CWE-548 |
| HTTP-015 | 기본 서버 페이지 노출 | ✓ 통과 | 기본 페이지 아님 | OWASP A02:2025 · WSTG Configuration Testing · CWE-200 |
| HTTP-016 | HTTP/2 또는 최신 프로토콜 | · 참고 | HTTP/1.1 | OWASP A06:2025 · WSTG Configuration Testing |
| HTTP-017 | 잘못된 MIME 응답 | ✓ 통과 | MIME 실행형 불일치 미검출 | OWASP A02:2025 · WSTG Configuration Testing · CWE-430 |
| HTTP-018 | 민감 응답의 public cache | ✓ 통과 | 민감 응답 public cache 미검출 | OWASP A02:2025 · WSTG Configuration Testing · CWE-525 |
| HTTP-019 | Referrer 내 민감 Query 징후 | ✓ 통과 | 외부 요청 43건의 Referer에 민감 query 없음 | OWASP A02:2025 · WSTG Client-side Testing · CWE-598 |
| HTTP-020 | robots.txt 민감 경로 노출 | ✓ 통과 | robots 민감경로 없음 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
보안 응답 헤더 — 89점 · 양호 (평가 19/25)
| Rule | 항목 | 상태 | 확인된 값 / 조치 | 근거 |
|---|---|---|---|---|
| HDR-001 | Content-Security-Policy 존재 | ✗ 보통 | CSP 없음 → 서비스 구조에 맞는 CSP를 단계적으로 적용합니다. |
OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
| HDR-002 | CSP unsafe-inline | – 확인 불가 | CSP 없음 | OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
| HDR-003 | CSP unsafe-eval | – 확인 불가 | CSP 없음 | OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
| HDR-004 | CSP wildcard source | – 확인 불가 | CSP 없음 | OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
| HDR-005 | CSP object-src 제한 | – 확인 불가 | CSP 없음 | OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
| HDR-006 | CSP base-uri 제한 | – 확인 불가 | CSP 없음 | OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
| HDR-007 | CSP frame-ancestors | – 확인 불가 | CSP 없음 | OWASP A01:2025 · WSTG Client-side Testing · CWE-1021 |
| HDR-008 | HSTS 적용 | ✗ 보통 | HSTS 없음 → 충분한 테스트 후 HSTS를 적용합니다. |
OWASP A04:2025 · WSTG Configuration Testing · CWE-319 |
| HDR-009 | HSTS max-age 충분 | ✗ 낮음 | max-age 부족(0) → 운영 검증 후 max-age를 충분한 기간으로 설정합니다. |
OWASP A04:2025 · WSTG Configuration Testing |
| HDR-010 | HSTS includeSubDomains | · 참고 | includeSubDomains 검토 | OWASP A04:2025 · WSTG Configuration Testing |
| HDR-011 | X-Content-Type-Options | ✗ 낮음 | nosniff 없음 → X-Content-Type-Options: nosniff를 설정합니다. |
OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
| HDR-012 | Clickjacking 보호 | ✓ 통과 | SAMEORIGIN | OWASP A01:2025 · WSTG Client-side Testing · CWE-1021 |
| HDR-013 | Referrer-Policy | ✗ 낮음 | Referrer-Policy 미흡 → strict-origin-when-cross-origin 등 적절한 정책을 적용합니다. |
OWASP A02:2025 · WSTG Client-side Testing · CWE-200 |
| HDR-014 | Permissions-Policy | · 참고 | Permissions-Policy 없음 | OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
| HDR-015 | COOP 설정 | · 참고 | COOP 없음 | OWASP A02:2025 · WSTG Client-side Testing |
| HDR-016 | CORP 설정 | · 참고 | CORP 없음 | OWASP A02:2025 · WSTG Client-side Testing |
| HDR-017 | COEP 설정 | · 참고 | COEP 없음 | OWASP A02:2025 · WSTG Client-side Testing |
| HDR-018 | CORS wildcard | ✓ 통과 | 와일드카드 아님 | OWASP A01:2025 · WSTG Client-side Testing · CWE-942 |
| HDR-019 | CORS credentials + wildcard 징후 | ✓ 통과 | 안전 | OWASP A01:2025 · WSTG Client-side Testing · CWE-942 |
| HDR-020 | CORS Origin 반사 징후 | ✓ 통과 | Origin 반사 안 함 | OWASP A01:2025 · WSTG Client-side Testing · CWE-942 |
| HDR-021 | Cache-Control 민감정보 | ✓ 통과 | 민감 응답 캐시 미검출 | OWASP A02:2025 · WSTG Configuration Testing · CWE-525 |
| HDR-022 | Pragma/Expires 상충 | ✓ 통과 | cache 헤더 상충 없음 | OWASP A02:2025 · WSTG Configuration Testing |
| HDR-023 | X-XSS-Protection 구형 정책 | · 참고 | 해당 없음 | OWASP A02:2025 · WSTG Client-side Testing |
| HDR-024 | Cross-origin isolation 일관성 | ✓ 통과 | 일관 | OWASP A02:2025 · WSTG Client-side Testing |
| HDR-025 | 보안 헤더 페이지별 일관성 | ✓ 통과 | 페이지 31개 헤더 일관 | OWASP A02:2025 · WSTG Configuration Testing · CWE-693 |
쿠키 — 85점 · 양호 (평가 10/10)
| Rule | 항목 | 상태 | 확인된 값 / 조치 | 근거 |
|---|---|---|---|---|
| CK-001 | Secure 속성 | ✗ 높음 | Secure 누락 → HTTPS에서만 전송되도록 Secure를 적용합니다. |
OWASP A07:2025 · WSTG Session Management · CWE-614 |
| CK-002 | HttpOnly 속성 | ✓ 통과 | HttpOnly 적용 | OWASP A07:2025 · WSTG Session Management · CWE-1004 |
| CK-003 | SameSite 속성 | ✗ 보통 | SameSite 미설정 → 업무 흐름에 맞게 SameSite를 명시합니다. |
OWASP A01:2025 · WSTG Session Management · CWE-1275 |
| CK-004 | SameSite=None + Secure | ✓ 통과 | 정상 | OWASP A07:2025 · WSTG Session Management · CWE-614 |
| CK-005 | Cookie Domain 과다 | ✓ 통과 | Domain 범위 적정 | OWASP A07:2025 · WSTG Session Management · CWE-565 |
| CK-006 | Cookie Path 과다 | · 참고 | Path=/ 쿠키 4개(관찰) | OWASP A07:2025 · WSTG Session Management |
| CK-007 | Cookie 만료기간 과다 | ✓ 통과 | 쿠키 수명 적정 | OWASP A07:2025 · WSTG Session Management · CWE-613 |
| CK-008 | Cookie 값 노출 마스킹 | ✓ 통과 | 쿠키 값 마스킹 | OWASP A02:2025 · WSTG Session Management · CWE-532 |
| CK-009 | 세션 쿠키 명명 노출 | · 참고 | PHPSESSID, PHPSESSID, uniq_id, threeway | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| CK-010 | 중복/상충 Cookie | ✗ 낮음 | 중복 쿠키 존재 → 동일 이름 쿠키의 Domain/Path 충돌을 정리합니다. |
OWASP A10:2025 · WSTG Session Management |
웹 표준 · 공개파일 — 100점 · 매우 양호 (평가 9/10)
| Rule | 항목 | 상태 | 확인된 값 / 조치 | 근거 |
|---|---|---|---|---|
| WEB-001 | robots.txt 존재 | ✓ 통과 | robots status=200 | OWASP A02:2025 · WSTG Information Gathering |
| WEB-002 | sitemap.xml 존재 | ✓ 통과 | sitemap 유효 | OWASP A02:2025 · WSTG Information Gathering |
| WEB-003 | security.txt 존재 | · 참고 | security.txt 없음 | OWASP A06:2025 · WSTG Information Gathering |
| WEB-004 | security.txt 연락처 유효성 | – 확인 불가 | security.txt 없음 | OWASP A06:2025 · WSTG Configuration Testing |
| WEB-005 | 외부 링크 HTTPS 비율 | ✓ 통과 | 외부링크 대부분 https | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
| WEB-006 | 폼 action HTTPS | ✓ 통과 | 폼 action https | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
| WEB-007 | 비밀번호 입력 페이지 HTTPS | ✓ 통과 | 정상 | OWASP A04:2025 · WSTG Authentication Testing · CWE-319 |
| WEB-008 | iframe HTTP 콘텐츠 | ✓ 통과 | iframe http 없음 | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
| WEB-009 | mailto 공개 이메일 | · 참고 | 공개 이메일 1개 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| WEB-010 | 페이지 크롤링 오류율 | ✓ 통과 | 크롤 오류율 낮음 | OWASP A10:2025 · WSTG Error Handling |
기술스택 · 의존성 — 98점 · 매우 양호 (평가 15/15)
| Rule | 항목 | 상태 | 확인된 값 / 조치 | 근거 |
|---|---|---|---|---|
| TECH-001 | 웹서버 기술 식별 | · 참고 | Apache (90%) | OWASP A02:2025 · WSTG Information Gathering |
| TECH-002 | 백엔드 기술 식별 | · 참고 | 미식별 | OWASP A02:2025 · WSTG Information Gathering |
| TECH-003 | CMS 식별 | · 참고 | 미식별 | OWASP A03:2025 · WSTG Information Gathering |
| TECH-004 | 프론트엔드 Framework 식별 | · 참고 | jQuery 3.7.1(95%) | OWASP A03:2025 · WSTG Information Gathering |
| TECH-005 | 정확한 버전 노출 | ✗ 낮음 | 버전 노출: jQuery 3.7.1 → 불필요한 버전 노출을 제거합니다. |
OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| TECH-006 | 지원 종료 기술 징후 | ✓ 통과 | 버전 확인된 기술의 지원종료 미검출 | OWASP A03:2025 · WSTG Configuration Testing · CWE-1104 |
| TECH-007 | Known CVE 정확매치 | ✓ 통과 | NVD 조회 결과 영향 CVE 없음 (jQuery 3.7.1) | OWASP A03:2025 · WSTG Configuration Testing · CWE-1104 |
| TECH-008 | Potential CVE 매치 | · 참고 | Potential CVE는 버전 확정 후 정밀진단에서 매칭 | OWASP A03:2025 · WSTG Configuration Testing · CWE-1104 |
| TECH-009 | 오래된 jQuery 징후 | ✓ 통과 | jQuery 3.7.1 | OWASP A03:2025 · WSTG Client-side Testing · CWE-1104 |
| TECH-010 | 오래된 Bootstrap 징후 | ✓ 통과 | Bootstrap 미검출/버전불명 | OWASP A03:2025 · WSTG Client-side Testing · CWE-1104 |
| TECH-011 | Source Map 공개 | ✓ 통과 | Source Map 미공개 | OWASP A02:2025 · WSTG Client-side Testing · CWE-200 |
| TECH-012 | Dependency 버전 URL 노출 | ✓ 통과 | 버전 URL 과다 노출 미검출 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| TECH-013 | CDN 라이브러리 SRI | ✗ 낮음 | 외부 스크립트 SRI 누락 2개 → 고정 버전 CDN 자원에는 SRI 적용을 검토합니다. |
OWASP A08:2025 · WSTG Client-side Testing · CWE-353 |
| TECH-014 | 외부 라이브러리 버전 고정 | ✓ 통과 | 외부 의존성 버전 고정 | OWASP A08:2025 · WSTG Client-side Testing · CWE-829 |
| TECH-015 | Third-party 패키지 과다 | · 참고 | 외부 스크립트 공급자 2곳 | OWASP A03:2025 · WSTG Client-side Testing · CWE-829 |
JavaScript — 95점 · 매우 양호 (평가 15/15)
| Rule | 항목 | 상태 | 확인된 값 / 조치 | 근거 |
|---|---|---|---|---|
| JS-001 | 인라인 Secret 패턴 | ✓ 통과 | 인라인 시크릿 미검출 | OWASP A02:2025 · WSTG Client-side Testing · CWE-798 |
| JS-002 | API Endpoint 공개 목록 | · 참고 | 공개 JS 내 API 엔드포인트 참고 | OWASP A01:2025 · WSTG Information Gathering |
| JS-003 | 내부 IP 문자열 노출 | ✓ 통과 | 내부 IP 미검출 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| JS-004 | 내부 Hostname 노출 | ✓ 통과 | 내부 호스트명 미검출 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| JS-005 | 개발환경 URL 노출 | ✓ 통과 | 개발 URL 미검출 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| JS-006 | Console debug 로그 | ✓ 통과 | 콘솔 debug 출력 0건, 민감정보 없음 | OWASP A02:2025 · WSTG Error Handling · CWE-532 |
| JS-007 | JavaScript 오류 | ✓ 통과 | 런타임 오류 없음 | OWASP A10:2025 · WSTG Error Handling |
| JS-008 | eval 사용 징후 | ✗ 보통 | eval() 사용 → eval 등 동적 실행을 제거하거나 안전한 대안으로 변경합니다. |
OWASP A05:2025 · WSTG Client-side Testing · CWE-95 |
| JS-009 | document.write 사용 | ✗ 낮음 | document.write 사용 → DOM API 등 안전한 렌더링 방식으로 대체합니다. |
OWASP A05:2025 · WSTG Client-side Testing · CWE-79 |
| JS-010 | innerHTML 동적 사용 징후 | ⚠ 주의 | innerHTML 동적 사용 | OWASP A05:2025 · WSTG Client-side Testing · CWE-79 |
| JS-011 | postMessage wildcard 징후 | ✓ 통과 | postMessage 안전 | OWASP A01:2025 · WSTG Client-side Testing · CWE-346 |
| JS-012 | localStorage 민감정보 키 징후 | ✓ 통과 | localStorage 항목 3건, 민감정보 징후 없음 | OWASP A07:2025 · WSTG Client-side Testing · CWE-922 |
| JS-013 | sessionStorage 민감정보 징후 | ✓ 통과 | sessionStorage 항목 0건, 민감정보 징후 없음 | OWASP A07:2025 · WSTG Client-side Testing · CWE-922 |
| JS-014 | 외부 script HTTP | ✓ 통과 | 외부 script http 없음 | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
| JS-015 | 외부 script 과도 권한 | ✓ 통과 | 외부 script 적정 | OWASP A03:2025 · WSTG Client-side Testing · CWE-829 |
입력 폼 — 100점 · 매우 양호 (평가 9/10)
| Rule | 항목 | 상태 | 확인된 값 / 조치 | 근거 |
|---|---|---|---|---|
| FORM-001 | Password autocomplete 정책 | · 참고 | autocomplete 정책 참고 | OWASP A07:2025 · WSTG Authentication Testing |
| FORM-002 | 민감정보 GET 전송 | ✓ 통과 | GET 민감전송 없음 | OWASP A04:2025 · WSTG Input Validation · CWE-598 |
| FORM-003 | 외부 Domain Form Action | ✓ 통과 | 외부 action 없음 | OWASP A01:2025 · WSTG Client-side Testing · CWE-441 |
| FORM-004 | HTTP Form Action | ✓ 통과 | form action https | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
| FORM-005 | Password field HTTP 페이지 | ✓ 통과 | 정상 | OWASP A04:2025 · WSTG Authentication Testing · CWE-319 |
| FORM-006 | 파일 업로드 Form 노출 | · 참고 | 파일 업로드 폼 없음 | OWASP A05:2025 · WSTG Input Validation |
| FORM-007 | CSRF token 구조 징후 | – 확인 불가 | POST 폼 없음 | OWASP A01:2025 · WSTG Session Management · CWE-352 |
| FORM-008 | 민감 Input 이름 노출 | · 참고 | 입력 필드 분류 참고 | OWASP A06:2025 · WSTG Information Gathering |
| FORM-009 | Form target=_blank 보호 | ✓ 통과 | 정상 | OWASP A06:2025 · WSTG Client-side Testing |
| FORM-010 | 입력 제한 속성 | · 참고 | 클라이언트 입력 제한 참고 | OWASP A05:2025 · WSTG Input Validation · CWE-20 |
정보 노출 — 100점 · 매우 양호 (평가 10/10)
| Rule | 항목 | 상태 | 확인된 값 / 조치 | 근거 |
|---|---|---|---|---|
| EXP-001 | Stack Trace 노출 | ✓ 통과 | 스택 트레이스 없음 | OWASP A10:2025 · WSTG Error Handling · CWE-209 |
| EXP-002 | 절대 서버경로 노출 | ✓ 통과 | 서버 경로 미노출 | OWASP A02:2025 · WSTG Error Handling · CWE-200 |
| EXP-003 | 내부 IP 노출 | ✓ 통과 | 내부 IP 없음 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| EXP-004 | 내부 Hostname 노출 | ✓ 통과 | 내부 호스트명 없음 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| EXP-005 | Debug Mode 징후 | ✓ 통과 | 디버그 징후 없음 | OWASP A02:2025 · WSTG Configuration Testing · CWE-489 |
| EXP-006 | HTML 주석 민감정보 | ✓ 통과 | 주석 민감정보 없음 | OWASP A02:2025 · WSTG Information Gathering · CWE-615 |
| EXP-007 | Generator 버전 노출 | ✓ 통과 | generator 버전 미노출 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| EXP-008 | 공개 Source Map | ✓ 통과 | Source Map 미공개 | OWASP A02:2025 · WSTG Client-side Testing · CWE-200 |
| EXP-009 | 개발/테스트 배너 노출 | ✓ 통과 | 배너 없음 | OWASP A02:2025 · WSTG Configuration Testing · CWE-489 |
| EXP-010 | 민감한 공개 문서 링크 | ✓ 통과 | 민감 파일 링크 없음 | OWASP A02:2025 · WSTG Configuration Testing · CWE-552 |
서드파티 · 공급망 — 98점 · 매우 양호 (평가 10/10)
| Rule | 항목 | 상태 | 확인된 값 / 조치 | 근거 |
|---|---|---|---|---|
| 3RD-001 | 외부 JavaScript 인벤토리 | · 참고 | 외부 JS 2개 | OWASP A03:2025 · WSTG Client-side Testing · CWE-829 |
| 3RD-002 | 외부 CSS 인벤토리 | · 참고 | 외부 CSS 3개 | OWASP A03:2025 · WSTG Client-side Testing · CWE-829 |
| 3RD-003 | 외부 iframe 인벤토리 | · 참고 | 외부 iframe 0개 | OWASP A03:2025 · WSTG Client-side Testing · CWE-829 |
| 3RD-004 | 외부 Script SRI | ✗ 낮음 | 외부 script SRI 누락 2 → 고정 버전 외부 리소스에 SRI를 적용할 수 있는지 검토합니다. |
OWASP A08:2025 · WSTG Client-side Testing · CWE-353 |
| 3RD-005 | 외부 CSS SRI | ✗ 낮음 | 외부 CSS SRI 누락 3 → 고정 버전 외부 CSS에 SRI 적용을 검토합니다. |
OWASP A08:2025 · WSTG Client-side Testing · CWE-353 |
| 3RD-006 | HTTP 외부 리소스 | ✓ 통과 | http 외부 리소스 없음 | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
| 3RD-007 | 분석/마케팅 서비스 목록 | · 참고 | 없음 | OWASP A06:2025 · WSTG Information Gathering |
| 3RD-008 | 외부 폰트 서비스 | · 참고 | fonts.googleapis.com | OWASP A06:2025 · WSTG Information Gathering |
| 3RD-009 | 외부 Resource Provider 과다 | ✓ 통과 | 공급자 3곳 | OWASP A03:2025 · WSTG Client-side Testing · CWE-829 |
| 3RD-010 | 알 수 없는 외부 Script 출처 | ✓ 통과 | 출처 분류됨 | OWASP A03:2025 · WSTG Client-side Testing · CWE-829 |
8. 서버 및 기술환경
| 구분 | 기술 | 버전 | 신뢰도 | 탐지 방식(근거) |
|---|---|---|---|---|
| web_server | Apache | - | 90% | Server: Apache |
| frontend | jQuery | 3.7.1 | 95% | 스크립트 경로에서 jQuery 감지 |
※ 외부 공개정보 기반 추정이며 일부는 확신도 표기와 함께 제공됩니다. (근거: OWASP WSTG 정보수집)
9. 외부 연결 서비스 (서드파티)
| 서비스 | 용도 | 도메인 | 근거(방식) |
|---|---|---|---|
| Tag Manager | www.googletagmanager.com | 외부 리소스 URL 수집 · OWASP A03:2025(공급망) | |
| jsDelivr | CDN | cdn.jsdelivr.net | 외부 리소스 URL 수집 · OWASP A03:2025(공급망) |
| Fonts | fonts.googleapis.com | 외부 리소스 URL 수집 · OWASP A03:2025(공급망) |
10. 정상적으로 적용된 항목
| 항목 | 분야 | 근거 |
|---|---|---|
| ✓ 도메인 DNS 조회 가능 | DNS · 도메인 | OWASP A02:2025 · WSTG Information Gathering |
| ✓ 사설 IP 노출 여부 | DNS · 도메인 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| ✓ 와일드카드 DNS 노출 | DNS · 도메인 | OWASP A02:2025 · WSTG Information Gathering |
| ✓ WWW/루트 도메인 일관성 | DNS · 도메인 | OWASP A02:2025 · WSTG Configuration Testing |
| ✓ CNAME 체인 과다 | DNS · 도메인 | OWASP A06:2025 · WSTG Information Gathering |
| ✓ Dangling CNAME 징후 | DNS · 도메인 | OWASP A01:2025 · WSTG Configuration Testing · CWE-284 |
| ✓ HTTPS 지원 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography · CWE-319 |
| ✓ HTTP→HTTPS 강제전환 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography · CWE-319 |
| ✓ 인증서 유효성 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography · CWE-295 |
| ✓ 인증서 만료 임박 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography |
| ✓ Hostname 일치 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography · CWE-297 |
| ✓ TLS 1.0 비활성화 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography · CWE-326 |
| ✓ TLS 1.1 비활성화 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography · CWE-326 |
| ✓ TLS 1.2 지원 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography |
| ✓ TLS 1.3 지원 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography |
| ✓ 인증서 체인 완전성 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography · CWE-295 |
| ✓ 자가서명 인증서 여부 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography · CWE-295 |
| ✓ 약한 서명 알고리즘 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography · CWE-327 |
| ✓ 약한 공개키 크기 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography · CWE-326 |
| ✓ SNI 정상 처리 | 전송 · TLS | OWASP A02:2025 · WSTG Configuration Testing |
| ✓ Mixed Content | 전송 · TLS | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
| ✓ 서버 버전 노출 | HTTP 프로토콜 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| ✓ X-Powered-By 노출 | HTTP 프로토콜 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| ✓ TRACE Method | HTTP 프로토콜 | OWASP A02:2025 · WSTG Configuration Testing · CWE-749 |
| ✓ 민감 페이지 캐시 방지 | HTTP 프로토콜 | OWASP A02:2025 · WSTG Configuration Testing · CWE-525 |
| ✓ 오류 페이지 상태코드 | HTTP 프로토콜 | OWASP A10:2025 · WSTG Error Handling |
| ✓ 5xx 상세정보 노출 | HTTP 프로토콜 | OWASP A10:2025 · WSTG Error Handling · CWE-209 |
| ✓ Content-Type 명시 | HTTP 프로토콜 | OWASP A02:2025 · WSTG Configuration Testing · CWE-436 |
| ✓ Charset 명시 | HTTP 프로토콜 | OWASP A02:2025 · WSTG Configuration Testing |
| ✓ 리다이렉트 체인 과다 | HTTP 프로토콜 | OWASP A06:2025 · WSTG Configuration Testing |
| ✓ Directory Listing 노출 | HTTP 프로토콜 | OWASP A02:2025 · WSTG Configuration Testing · CWE-548 |
| ✓ 기본 서버 페이지 노출 | HTTP 프로토콜 | OWASP A02:2025 · WSTG Configuration Testing · CWE-200 |
| ✓ 잘못된 MIME 응답 | HTTP 프로토콜 | OWASP A02:2025 · WSTG Configuration Testing · CWE-430 |
| ✓ 민감 응답의 public cache | HTTP 프로토콜 | OWASP A02:2025 · WSTG Configuration Testing · CWE-525 |
| ✓ Referrer 내 민감 Query 징후 | HTTP 프로토콜 | OWASP A02:2025 · WSTG Client-side Testing · CWE-598 |
| ✓ robots.txt 민감 경로 노출 | HTTP 프로토콜 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| ✓ Clickjacking 보호 | 보안 응답 헤더 | OWASP A01:2025 · WSTG Client-side Testing · CWE-1021 |
| ✓ CORS wildcard | 보안 응답 헤더 | OWASP A01:2025 · WSTG Client-side Testing · CWE-942 |
| ✓ CORS credentials + wildcard 징후 | 보안 응답 헤더 | OWASP A01:2025 · WSTG Client-side Testing · CWE-942 |
| ✓ CORS Origin 반사 징후 | 보안 응답 헤더 | OWASP A01:2025 · WSTG Client-side Testing · CWE-942 |
| ✓ Cache-Control 민감정보 | 보안 응답 헤더 | OWASP A02:2025 · WSTG Configuration Testing · CWE-525 |
| ✓ Pragma/Expires 상충 | 보안 응답 헤더 | OWASP A02:2025 · WSTG Configuration Testing |
| ✓ Cross-origin isolation 일관성 | 보안 응답 헤더 | OWASP A02:2025 · WSTG Client-side Testing |
| ✓ 보안 헤더 페이지별 일관성 | 보안 응답 헤더 | OWASP A02:2025 · WSTG Configuration Testing · CWE-693 |
| ✓ HttpOnly 속성 | 쿠키 | OWASP A07:2025 · WSTG Session Management · CWE-1004 |
| ✓ SameSite=None + Secure | 쿠키 | OWASP A07:2025 · WSTG Session Management · CWE-614 |
| ✓ Cookie Domain 과다 | 쿠키 | OWASP A07:2025 · WSTG Session Management · CWE-565 |
| ✓ Cookie 만료기간 과다 | 쿠키 | OWASP A07:2025 · WSTG Session Management · CWE-613 |
| ✓ Cookie 값 노출 마스킹 | 쿠키 | OWASP A02:2025 · WSTG Session Management · CWE-532 |
| ✓ robots.txt 존재 | 웹 표준 · 공개파일 | OWASP A02:2025 · WSTG Information Gathering |
| ✓ sitemap.xml 존재 | 웹 표준 · 공개파일 | OWASP A02:2025 · WSTG Information Gathering |
| ✓ 외부 링크 HTTPS 비율 | 웹 표준 · 공개파일 | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
| ✓ 폼 action HTTPS | 웹 표준 · 공개파일 | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
| ✓ 비밀번호 입력 페이지 HTTPS | 웹 표준 · 공개파일 | OWASP A04:2025 · WSTG Authentication Testing · CWE-319 |
| ✓ iframe HTTP 콘텐츠 | 웹 표준 · 공개파일 | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
| ✓ 페이지 크롤링 오류율 | 웹 표준 · 공개파일 | OWASP A10:2025 · WSTG Error Handling |
| ✓ 지원 종료 기술 징후 | 기술스택 · 의존성 | OWASP A03:2025 · WSTG Configuration Testing · CWE-1104 |
| ✓ Known CVE 정확매치 | 기술스택 · 의존성 | OWASP A03:2025 · WSTG Configuration Testing · CWE-1104 |
| ✓ 오래된 jQuery 징후 | 기술스택 · 의존성 | OWASP A03:2025 · WSTG Client-side Testing · CWE-1104 |
| ✓ 오래된 Bootstrap 징후 | 기술스택 · 의존성 | OWASP A03:2025 · WSTG Client-side Testing · CWE-1104 |
| ✓ Source Map 공개 | 기술스택 · 의존성 | OWASP A02:2025 · WSTG Client-side Testing · CWE-200 |
| ✓ Dependency 버전 URL 노출 | 기술스택 · 의존성 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| ✓ 외부 라이브러리 버전 고정 | 기술스택 · 의존성 | OWASP A08:2025 · WSTG Client-side Testing · CWE-829 |
| ✓ 인라인 Secret 패턴 | JavaScript | OWASP A02:2025 · WSTG Client-side Testing · CWE-798 |
| ✓ 내부 IP 문자열 노출 | JavaScript | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| ✓ 내부 Hostname 노출 | JavaScript | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| ✓ 개발환경 URL 노출 | JavaScript | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| ✓ Console debug 로그 | JavaScript | OWASP A02:2025 · WSTG Error Handling · CWE-532 |
| ✓ JavaScript 오류 | JavaScript | OWASP A10:2025 · WSTG Error Handling |
| ✓ postMessage wildcard 징후 | JavaScript | OWASP A01:2025 · WSTG Client-side Testing · CWE-346 |
| ✓ localStorage 민감정보 키 징후 | JavaScript | OWASP A07:2025 · WSTG Client-side Testing · CWE-922 |
| ✓ sessionStorage 민감정보 징후 | JavaScript | OWASP A07:2025 · WSTG Client-side Testing · CWE-922 |
| ✓ 외부 script HTTP | JavaScript | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
| ✓ 외부 script 과도 권한 | JavaScript | OWASP A03:2025 · WSTG Client-side Testing · CWE-829 |
| ✓ 민감정보 GET 전송 | 입력 폼 | OWASP A04:2025 · WSTG Input Validation · CWE-598 |
| ✓ 외부 Domain Form Action | 입력 폼 | OWASP A01:2025 · WSTG Client-side Testing · CWE-441 |
| ✓ HTTP Form Action | 입력 폼 | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
| ✓ Password field HTTP 페이지 | 입력 폼 | OWASP A04:2025 · WSTG Authentication Testing · CWE-319 |
| ✓ Form target=_blank 보호 | 입력 폼 | OWASP A06:2025 · WSTG Client-side Testing |
| ✓ Stack Trace 노출 | 정보 노출 | OWASP A10:2025 · WSTG Error Handling · CWE-209 |
| ✓ 절대 서버경로 노출 | 정보 노출 | OWASP A02:2025 · WSTG Error Handling · CWE-200 |
| ✓ 내부 IP 노출 | 정보 노출 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| ✓ 내부 Hostname 노출 | 정보 노출 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| ✓ Debug Mode 징후 | 정보 노출 | OWASP A02:2025 · WSTG Configuration Testing · CWE-489 |
| ✓ HTML 주석 민감정보 | 정보 노출 | OWASP A02:2025 · WSTG Information Gathering · CWE-615 |
| ✓ Generator 버전 노출 | 정보 노출 | OWASP A02:2025 · WSTG Information Gathering · CWE-200 |
| ✓ 공개 Source Map | 정보 노출 | OWASP A02:2025 · WSTG Client-side Testing · CWE-200 |
| ✓ 개발/테스트 배너 노출 | 정보 노출 | OWASP A02:2025 · WSTG Configuration Testing · CWE-489 |
| ✓ 민감한 공개 문서 링크 | 정보 노출 | OWASP A02:2025 · WSTG Configuration Testing · CWE-552 |
| ✓ HTTP 외부 리소스 | 서드파티 · 공급망 | OWASP A04:2025 · WSTG Client-side Testing · CWE-319 |
| ✓ 외부 Resource Provider 과다 | 서드파티 · 공급망 | OWASP A03:2025 · WSTG Client-side Testing · CWE-829 |
| ✓ 알 수 없는 외부 Script 출처 | 서드파티 · 공급망 | OWASP A03:2025 · WSTG Client-side Testing · CWE-829 |
11. 이번(무료 공개) 진단으로 확인할 수 없는 항목
아래는 로그인·서버 내부·실브라우저·CVE 데이터 등이 필요해 공개 스캔으로 확인 불가합니다. "문제 없음"이 아니라 "미확인"이며 정밀진단에서 점검합니다. (스펙 원칙: NOT_TESTED는 PASS로 계산하지 않음)
| 항목 | 분야 | 관련 기준 |
|---|---|---|
| – SPF 과도한 허용 | DNS · 도메인 | OWASP A02:2025 · WSTG Configuration Testing · CWE-284 |
| – RC4 비활성화 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography · CWE-327 |
| – 3DES 비활성화 | 전송 · TLS | OWASP A04:2025 · WSTG Weak Cryptography · CWE-327 |
| – 불필요 HTTP Method 노출 | HTTP 프로토콜 | OWASP A02:2025 · WSTG Configuration Testing · CWE-749 |
| – CSP unsafe-inline | 보안 응답 헤더 | OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
| – CSP unsafe-eval | 보안 응답 헤더 | OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
| – CSP wildcard source | 보안 응답 헤더 | OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
| – CSP object-src 제한 | 보안 응답 헤더 | OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
| – CSP base-uri 제한 | 보안 응답 헤더 | OWASP A02:2025 · WSTG Client-side Testing · CWE-693 |
| – CSP frame-ancestors | 보안 응답 헤더 | OWASP A01:2025 · WSTG Client-side Testing · CWE-1021 |
| – security.txt 연락처 유효성 | 웹 표준 · 공개파일 | OWASP A06:2025 · WSTG Configuration Testing |
| – CSRF token 구조 징후 | 입력 폼 | OWASP A01:2025 · WSTG Session Management · CWE-352 |
12. 국제 보안기준
| 기준 | 적용 | 참고 사이트 |
|---|---|---|
| OWASP Top 10:2025 | 취약점 상위 위험 분류 | https://owasp.org/Top10/2025/ |
| OWASP WSTG Stable | 테스트 방법론 연결 | https://owasp.org/www-project-web-security-testing-guide/stable/ |
| CWE | 취약점 유형 분류 | https://cwe.mitre.org/ |
| CVE / NVD | 알려진 제품 취약점(정밀진단 연동) | https://www.cve.org/ |
| CVSS 4.0 | 확인된 CVE 위험도 | https://www.first.org/cvss/ |
13. 진단 결과 요약
👍 양호한 부분
• 도메인 DNS 조회 가능근거: OWASP A02:2025 · WSTG Information Gathering
• 사설 IP 노출 여부근거: OWASP A02:2025 · WSTG Information Gathering · CWE-200
• 와일드카드 DNS 노출근거: OWASP A02:2025 · WSTG Information Gathering
• WWW/루트 도메인 일관성근거: OWASP A02:2025 · WSTG Configuration Testing
• CNAME 체인 과다근거: OWASP A06:2025 · WSTG Information Gathering
• Dangling CNAME 징후근거: OWASP A01:2025 · WSTG Configuration Testing · CWE-284
• HTTPS 지원근거: OWASP A04:2025 · WSTG Weak Cryptography · CWE-319
• HTTP→HTTPS 강제전환근거: OWASP A04:2025 · WSTG Weak Cryptography · CWE-319
• 인증서 유효성근거: OWASP A04:2025 · WSTG Weak Cryptography · CWE-295
• 인증서 만료 임박근거: OWASP A04:2025 · WSTG Weak Cryptography
🔧 개선이 필요한 부분
• SPF 레코드 존재근거: OWASP A02:2025 · WSTG Configuration Testing
• DMARC 레코드 존재근거: OWASP A02:2025 · WSTG Configuration Testing
• NS 이중화근거: OWASP A06:2025 · WSTG Configuration Testing
• Content-Security-Policy 존재근거: OWASP A02:2025 · WSTG Client-side Testing · CWE-693
• HSTS 적용근거: OWASP A04:2025 · WSTG Configuration Testing · CWE-319
• SameSite 속성근거: OWASP A01:2025 · WSTG Session Management · CWE-1275
• eval 사용 징후근거: OWASP A05:2025 · WSTG Client-side Testing · CWE-95
• DNSSEC 적용 여부근거: OWASP A08:2025 · WSTG Configuration Testing
• DMARC 보호수준근거: OWASP A02:2025 · WSTG Configuration Testing
• CAA 레코드 존재근거: OWASP A04:2025 · WSTG Cryptography Testing
🚨 우선 확인이 필요한 부분
• NULL/EXPORT Cipher 비활성화근거: OWASP A04:2025 · WSTG Weak Cryptography · CWE-327
• 취약 Cipher 비활성화근거: OWASP A04:2025 · WSTG Weak Cryptography · CWE-327
• Secure 속성근거: OWASP A07:2025 · WSTG Session Management · CWE-614
14. 30일 실행 플랜
| 주차 | 단계 | 할 일 / 상세 |
|---|---|---|
| 1주차 | 즉시 조치 (높은 위험) | NULL/EXPORT Cipher 비활성화 NULL/EXPORT Cipher를 즉시 제거합니다. |
| 2주차 | 보안 헤더·설정 강화 | 취약 Cipher 비활성화 약한 Cipher Suite를 제거하고 현대적 구성을 적용합니다. |
| 3주차 | 정보 노출·의존성 정리 | Secure 속성 HTTPS에서만 전송되도록 Secure를 적용합니다. |
| 4주차 | 재점검·유지관리 | 30일 후 재진단 동일 기준으로 재진단해 개선폭을 확인하고 설정 유지 여부를 점검하세요. |
다른 사이트와 비교
비교할 도메인을 입력하면 동일 기준으로 진단해 나란히 비교합니다. (최대 2곳)
16. 진단 범위 및 한계
본 진단은 검사 시점에 인터넷을 통해 공개적으로 접근 가능한 영역을 대상으로 비파괴적 방식으로 수행됩니다. 로그인 이후 영역, 서버 내부 소스코드·DB·내부 네트워크, SQL Injection·XSS 등 능동 공격, 인증 우회, 파일 업로드 공격, 비즈니스 로직은 본 Public Scan 범위에 포함되지 않으며 위 확인 불가 항목으로 표기됩니다. 본 결과는 전체 보안성을 보증하는 인증서가 아니며, 상세 검증에는 별도의 정밀진단이 필요합니다.
진단은 어디가 취약한지까지입니다.
실제 서버 설정 적용·정밀 진단이 필요하다면 쓰리웨이가 직접 도와드립니다.