본문으로 건너뛰기
BigTree108

사이버 보안 및 침투 테스트 서비스

사이버 보안 및 침투 테스트 서비스: 웹과 모바일 애플리케이션, API, 네트워크, 클라우드 계정의 침투 테스트, 애플리케이션 보안과 보안 코드 리뷰, 클라우드 보안 태세, 보안 모니터링과 침해 사고 대응, ISO 27001, SOC 2, PCI DSS의 기술적 부분을 제공합니다. 귀사 팀에 합류하는 전담 보안 엔지니어와 침투 테스터도 선택하실 수 있습니다.

제공하는 보안 서비스

  • 웹 애플리케이션 침투 테스트

    인증, 세션, 접근 제어, 비즈니스 로직, 인젝션을 OWASP Web Security Testing Guide에 따라 수작업으로 테스트하며, 자동 스캔은 결과가 아니라 출발점으로 씁니다.

  • 모바일 및 API 침투 테스트

    iOS와 Android 앱은 OWASP MASVS에 따라, REST, GraphQL, gRPC API는 OWASP API Security Top 10에 따라 테스트합니다. 객체 수준 권한 부여, 대량 할당, 속도 제한, 용도를 넘어 유효한 토큰이 대상입니다.

  • 네트워크 및 Active Directory 침투 테스트

    외부 경계와 내부 네트워크 테스트, BloodHound로 매핑하는 Active Directory와 Entra ID 공격 경로, Wi-Fi 테스트, 요청하시는 경우의 피싱 시뮬레이션입니다. 모두 서면 승인 아래 진행합니다.

  • 애플리케이션 보안과 보안 코드 리뷰

    새 기능의 위협 모델, 인증, 권한 부여, 데이터 처리 코드의 수동 리뷰, 개발자가 그 결과를 신뢰할 때까지 튜닝한 CodeQL 또는 Semgrep의 정적 분석, 귀사 코드에서 발견한 문제를 바탕으로 한 보안 코딩 교육입니다.

  • 클라우드 보안 태세

    AWS, Azure, Google Cloud 계정을 Security Hub, Defender for Cloud, Security Command Center, Prowler 또는 Wiz로 지속적으로 점검해 공개 스토리지, 과도한 역할, 오래 유효한 키, 꺼져 있는 로깅을 찾고, 수정 사항은 코드형 인프라로 작성합니다.

  • 보안 모니터링과 SOC

    클라우드, ID, 엔드포인트, 애플리케이션의 로그를 Microsoft Sentinel, Splunk, Elastic Security 또는 Wazuh에 수집하고, MITRE ATT&CK에 매핑한 탐지 규칙, 모든 디바이스의 EDR, 합의한 교대 일정에 따라 분석가가 분류하는 경보를 제공합니다.

  • 침해 사고 대응

    차단, 포렌식을 위한 증거 보존, 근본 원인 파악, 깨끗한 백업에서의 시스템 복구에 이어 보고서와 더 일찍 잡아냈을 탐지 규칙을 문서로 제공합니다. 모의 훈련(tabletop exercise)으로 계획이 필요해지기 전에 검증합니다.

  • 컴플라이언스 자동화

    ISO 27001, SOC 2, PCI DSS, HIPAA, NIS2, DORA의 기술적 부분입니다. 통제를 귀사의 시스템에 구현하고, Vanta, Drata 또는 자체 스크립트로 증적을 자동으로 수집하며, 접근 검토, 백업, 변경 통제를 스크린샷이 아니라 기록으로 입증합니다.

  • 하드닝

    서버, 컨테이너, 클러스터, 노트북을 CIS Benchmarks 수준으로 맞추고 산업 제어 네트워크를 IEC 62443 영역으로 분리합니다. 설정은 코드로 적용하고 정기적으로 점검하므로 원래대로 되돌아가지 않습니다.

보안 엔지니어와 침투 테스터 채용

  • 전담 보안 엔지니어와 침투 테스터

    귀사 팀에 풀타임으로 합류해 귀사의 도구와 프로세스로 일하고 귀사의 리드에게 보고하는 보안 엔지니어와 침투 테스터 인력입니다. 면접은 귀사가 진행하고, 우크라이나 현지 계약, 급여, 청구, 휴가는 당사가 맡습니다.

  • 보안 엔지니어링 프로젝트

    범위와 확정된 계획이 있는 보안 엔지니어링 업무입니다. 당사의 지정 리드가 결과에 책임을 지고 귀사의 채널에서 진행 상황을 보고합니다.

  • 지속적인 보안 엔지니어링

    지속적으로 제공하는 보안 엔지니어링 서비스입니다. 매달 같은 인력이 투입되고, 우선순위를 정하는 백로그를 운영하며, 투입 시간은 당사 포털과 인보이스에서 확인하실 수 있습니다.

전담 개발팀 페이지는 전문가가 귀사 팀에 합류하는 방식을 설명하고, 외주 개발 페이지는 프로젝트 납품, 인수, 비용 청구 방식을 다룹니다.

보안 엔지니어링 업무를 맡는 사람들

  • 침투 테스터

    웹, 모바일, API, 네트워크, 클라우드 테스트

  • 애플리케이션 보안 엔지니어

    보안 코드 리뷰, 위협 모델, 파이프라인 스캔

  • 클라우드 보안 엔지니어

    보안 태세, ID, 코드형 인프라 형태의 수정

  • SOC 분석가와 침해 사고 대응 담당자

    탐지, 분류, 대응

  • 컴플라이언스 엔지니어

    ISO 27001, SOC 2, PCI DSS 통제와 증적

보안 업무 방식

모든 테스트는 서면 범위로 시작합니다. 어떤 시스템과 계정인지, 어느 시간대인지, 문제가 생기면 누구에게 연락하는지, 각 시스템 소유자의 서면 승인입니다. 가능한 한 스테이징에서 테스트하고, 모든 발견 사항은 심각도, 재현 방법, 수정 방안과 함께 보고하며, 수정 후 재테스트로 각 항목이 종결되었는지 확인합니다.

발견 사항은 그것이 있는 곳에서 고칩니다. 코드 변경은 개발자가, 클라우드와 네트워크 변경은 코드형 인프라로 처리하고, 각각에 회귀 테스트나 탐지 규칙을 두어 종결된 항목이 다시 열리지 않게 합니다. 당사의 시스템에도 같은 기준을 적용합니다: 당사의 노트북은 Rust로 직접 만든 에이전트가 당사 보안 기준에 따라 Windows, macOS, Ubuntu에서 점검하며, 점검 항목은 ISO 27001, CIS, Cyber Essentials, Essential Eight, SOC 2에 대응시켜 두었습니다.

다른 클라우드, DevOps, 보안 서비스

클라우드, DevOps, 보안 개요

사이버 보안과 침투 테스트 관련 질문

보안 엔지니어는 어떤 업종에서 일합니까?

주로 탐지 콘텐츠, 제품 테스트, 보안 연구를 하는 사이버 보안 제품 기업입니다. PCI DSS와 DORA를 따르는 핀테크와 은행, 제어 네트워크를 사무용 IT와 분리하는 산업 및 에너지 기업, 결제 화면과 고객 계정을 보호하는 이커머스, SOC 2 감사와 고객 보안 검토를 준비하는 SaaS 기업, 호스팅 및 통신 제공업체와 공공 부문 시스템도 있습니다.

침투 테스트 보고서에는 무엇이 들어 있습니까?

경영진을 위한 요약에 이어, 모든 발견 사항을 CVSS 심각도, 영향받는 시스템, 재현 단계, 증거, 권장 수정 방안과 함께 담습니다. 귀사 팀이 수정 사항을 배포하면 재테스트로 어떤 항목이 종결되었는지 기록합니다.

ISO 27001 또는 SOC 2 인증을 받게 해 주실 수 있습니까?

인증은 공인 인증 기관이 발급하고 SOC 2 보고서는 독립된 감사 법인이 발급하므로, 어떤 공급업체도 이를 약속할 수 없습니다. 당사는 기술적인 부분을 맡습니다. 감사인이 테스트할 통제를 구현하고, 준비 상태 점검에서 드러난 공백을 메우며, 내보낼 수 있는 증적을 준비해 둡니다.

테스트가 프로덕션 시스템을 방해합니까?

기본적으로는 아닙니다. 스테이징이 있으면 스테이징에서 테스트합니다. 프로덕션을 테스트해야 한다면 합의한 시간대에, 합의한 속도로, 파괴적인 페이로드 없이, 양측에 지정된 담당자를 두고 진행합니다.

보안 엔지니어와 침투 테스터 투입까지 얼마나 걸립니까?

적합한 보안 엔지니어 인력이 있으면 귀사의 면접, NDA, 지식재산권 양도 절차만 거치면 바로 시작할 수 있습니다. 그렇지 않으면 인재를 탐색하며, 보통 2~3주 안에 후보자 프로필을 전달합니다. 귀사가 승인하기 전에는 누구도 업무를 시작하지 않습니다.

보안 엔지니어와 침투 테스터 채용은 BigTree108을 통해 어떻게 진행합니까?

필요한 업무, 경력 수준, 근무 시간을 알려 주십시오. 당사가 한두 명의 프로필을 제안하면, 귀사는 직접 채용하는 인력과 같은 방식으로 면접을 진행하고, BIG TREE 108 LLC와 하나의 계약을 체결하여 월 1회 하나의 인보이스를 받습니다.

전문가가 만든 결과물의 소유권은 누구에게 있습니까?

귀사에 있습니다. 모든 전문가는 당사와 서명한 계약으로 모든 작업 결과물을 회사에 귀속시키고, 귀사와의 계약으로 이것이 다시 귀사에 귀속됩니다. 코드, 디자인, 문서는 당사만 수정할 수 있는 곳이 아니라 귀사의 저장소와 도구에 직접 전달합니다.

침투 테스트 또는 보안 엔지니어가 필요하십니까?

범위에 들어가는 시스템, 운영되는 곳, 준비 중인 감사 일정을 알려 주십시오. 1영업일 이내에 범위 제안, 테스트 계획, 또는 후보자 프로필을 보내 드립니다.

이메일 hello@bigtree108.com응답 방식