보안프로젝트를 이끌고 있는 조정원씨가 이끄는 팀에서 나온 새로운 웹 모의해킹과 침해대응에 대한 책이다.
웹보안 국제표준기구인 OWASP에서 제공하는 오픈소스 기반의 웹 모의해킹도구인 ZAP(OWASP-ZAP)을 이용한 모의해킹 방식을 설명하고
있다.
기본적으로 OWASP-ZAP과 더불어
모의해킹을 연습하기 위한 가상환경을 제공하기 위한
메타스프로이터블2(metasploitable2)
침입탐지 솔루션인
시큐리티 어니언(Security Onion)
을 함께 구축해서
웹 모의해킹(모의침투)와 그에 대응하는 침입탐지 및 로그분석 기법을 함께 다루고 있어
공격자뿐 아니라 방어자 (보안 담당자) 입장에서도 바라볼 수 있도록
균형잡힌 내용을 다루고 있다.
책의 상당부분은 기술문서라서
웹크롤러인 스파이더와 에이잭스 스파이더
퍼징과 페이로드 테스트를 위한 퍼저 (Fuzzer)
이벤트 처리기 스구일 (sguil)
침입탐지 이벤트 분석기 스노비 (Snorby)
로그관리 솔수션인 엘사 (ELSA)
침입타지도구인 스노트 (snort)
등의 도구를 설치하고 활용하는 방법들에게 할애되어 있지만
OWASP에서 다루고 있는 웹취약점에 대해
취약점 진단 및 침입탐지 기법에 대해 설명하고 있다.
마지막으로 이런 도구를 실제로 모의침투에서 활요하는 방법을 설명하기 위해
윈도우 파워쉘을 이용한 모의침투 시나리오 구성방법을 제공하고 있다.
보안 중요성은 날로 더 커져만 가고
다양한 보안 취약점에 대해 보안입문자가 실습할 수 있는 환경을 혼자 구성하기가 쉽지 않지만
이책을 이용하면 오픈소스만으로 자신만의 웹보안 실습환경을 효과적으로 구성할 수 있을 것으로 보여진다.