Tenable Vulnerability Management for Web Apps

그래서 우리 개발팀이 패치가 적용되지 않은 API 엔드포인트로 인해 심각한 위반을 겪은 후 이 문제를 조사하게 되었습니다. 우리는 고민 중이었고 누군가 웹 앱용 Tenable Vulnerability Management를 제안했습니다. 솔직히 처음에는 회의적이었습니다. 또 다른 보안 도구일까요? 하지만 설정한 후에는 실제로 약속한 대로 수행했습니다. 즉, 우리가 놓쳤던 실제 문제를 발견한 것입니다.

좋은 것들

정말 눈에 띄는 것은 낮게 매달린 과일을 얼마나 빨리 잡았는지였습니다. 예를 들어, 스테이징 사이트를 가리키는 지 몇 분 만에 알려진 익스플로잇이 있는 오래된 라이브러리를 표시했습니다. 보고서에는 CVE ID와 간단한 설명도 표시되었습니다. 전문 용어는 사용하지 않고 "이건 나쁘다"만 표시했습니다. 그리고 위험 점수를 매기는 것이 합리적이었습니다. 모든 것에 대해 "CRITICAL"이라고만 외치는 것이 아닙니다. 실제 위협 수준을 기준으로 우선순위를 정했습니다. 덕분에 심사에 드는 시간이 절약되었습니다.

또한 기존 CI/CD 파이프라인과의 통합이 예상보다 원활했습니다. 서버에 대한 전체 관리자 액세스가 필요하지 않습니다. 스캔 URL과 일부 기본 인증만 있으면 됩니다. 그리고 대시보드? 보안 담당자가 아닌 사람도 한눈에 무슨 일이 일어나고 있는지 알아볼 수 있을 정도로 깨끗합니다. 전문가를 위한 도구 상자처럼 느껴지는 Burp Suite와 비교하면 이는 취약점을 안내하는 투어에 가깝습니다.

그다지 좋지 않은 것

하지만 현실적으로 생각해 봅시다. 모든 사람에게 해당되는 것은 아닙니다. 1인 개발자이거나 소규모 블로그를 운영하고 있다면 이는 너무 부담스러운 일입니다. 구독 기반이므로 지속적인 비용이 발생하며 무료 등급이 없습니다. 또한 인터페이스는 초보자에게 직관적이지 않습니다. 스캔을 적절하게 예약하는 방법을 알아내기 위해 문서를 조사해야 했습니다. 실시간 채팅 지원을 기대하지 마세요. 모두 이메일 티켓입니다.

또한 웹 앱에서만 작동하므로 네트워크나 엔드포인트를 검색하는 경우 다른 도구가 필요합니다. 딜 브레이커는 아니지만 미리 알아 둘 가치가 있습니다. 또한 사용자 행동이나 액세스 제어에 대해서는 아무 작업도 수행하지 않으며 단지 코드 수준의 결함만 있을 뿐입니다.

결론

웹 애플리케이션을 관리하는 팀의 일원이고 취약점이 악용되기 전에 이를 포착할 수 있는 안정적이고 자동화된 방법을 원한다면 웹앱용 Tenable Vulnerability Management for Web-apps가 그만한 가치가 있습니다. 화려하지는 않지만 드라마 없이도 제 역할을 합니다. 이제 막 시작했거나 전용 보안 프로세스가 없다면 건너뛰세요. 그러나 이미 DevSecOps에 깊이 빠져 있다면 그것은 확실한 퍼즐 조각입니다.