AWS Continuum 모의 해킹 기능 개선: 로그인 사전 검증과 도메인 자동 추천 분석
침투 테스트를 시작하기 전에 계정 정보가 맞는지 미리 확인하고, 테스트할 웹사이트 주소를 자동으로 찾아주는 신규 기능이 추가되었다. 테스트 낭비를 줄이고 안전성을 높이는 원리를 알아본다.
발행일: 2026.09.20
공식 사이트 확인모의 해킹에 사용할 임시 아이디와 비밀번호를 입력한다.
실제 사용자처럼 로그인을 시도해 계정 정보가 올바른지 바로 확인한다.
로그인 과정에서 연결되는 웹사이트 주소와 내부 서버를 자동으로 찾아냅니다.
1. 개요: 모의 침투 테스트 자동화와 사전 검증의 필요성
소프트웨어 개발 과정에서 보안 취약점을 미리 찾아내는 침투 테스트(모의 해킹)는 클라우드 환경에서 필수적인 안전장치이다. 하지만 자동화된 보안 점검 도구를 돌릴 때 가장 자주 겪는 어려움은 테스트할 웹사이트 주소를 잘못 적거나, 입력한 아이디와 비밀번호가 틀려 테스트가 헛도는 문제였다.
기존 방식에서는 테스트를 다 돌려놓고 몇 시간 뒤에야 “로그인 실패로 테스트가 중단되었다”라는 결과를 확인하는 경우가 많았다. 이는 클라우드 서버 비용만 낭비하고 개발 일정을 지연시키는 원인이 되었다.
AWS는 이러한 낭비를 줄이기 위해 모의 침투 테스트 도구인 AWS Continuum에 계정 유효성 검증(Credential Testing)과 접근 가능 도메인 추천(Accessible Domain Suggestions) 기능을 추가했다. 테스트를 시작하기 전에 로그인 정보가 맞는지 확인하고, 테스트해야 할 주소를 알아서 찾아주는 기능이다.
2. 신규 기능의 원리와 작동 순서
이번 업데이트의 핵심은 본격적인 공격 테스트를 시작하기 전에 로그인과 접속 경로를 먼저 확인하는 사전 검사 단계를 둔 것이다.
모의 침투 테스트를 시작하기 전, 로그인 정보와 대상 서버를 미리 확인하는 과정
모의 해킹에 사용할 임시 아이디와 비밀번호를 입력한다.
실제 사용자처럼 로그인을 시도해 계정 정보가 올바른지 바로 확인한다.
로그인 과정에서 연결되는 웹사이트 주소와 내부 서버를 자동으로 찾아냅니다.
확인된 도메인만 골라 불필요한 서버 공격 없이 안전하게 모의 해킹을 진행한다.
2.1. 사용자 관점의 인증 시뮬레이션
엔지니어가 테스트 화면에 로그인 계정 정보를 입력하면, AWS Continuum은 실제 사용자가 웹 브라우저를 통해 로그인하는 것과 똑같이 접속을 시도한다. 이 과정에서 거쳐가는 로그인 페이지, 외부 인증 서비스, 백엔드 서버 주소를 가로채서 꼼꼼히 분석한다.
2.2. 접속 가능한 주소 자동 추출
이 기능은 로그인이 ‘성공’했을 때뿐만 아니라, ‘실패’하거나 ‘접속 시간 초과’가 일어날 때도 연결을 시도했던 모든 주소를 찾아냅니다.
- 로그인 성공 시: 로그인 직후 열리는 관리자 대시보드와 연결된 내부 서버 주소를 모의 해킹 대상으로 추천한다.
- 로그인 실패/시간 초과 시: 에러 안내 페이지나 방화벽 차단 주소를 보여주어, 주소에 오타가 났거나 방화벽이 막혀 있는 것은 아닌지 곧바로 알아챌 수 있다.
2.3. 테스트 대상 주소 확정
수집된 주소들은 화면에 ‘추천 점검 대상’으로 깔끔하게 정리되어 나타난다. 보안 담당자는 실제로 점검해야 할 주소만 콕 집어서 선택할 수 있으므로, 결제 대행사나 외부 협력사 서버를 엉뚱하게 공격하는 사고를 사전에 완벽히 막을 수 있다.
3. 기존 수동 방식과 신규 자동 방식 비교
침투 테스트를 준비할 때 드는 시간과 리스크를 비교하면 다음과 같습니다.
| 비교 항목 | 기존 수동 방식 | AWS Continuum 신규 방식 |
|---|---|---|
| 대상 주소 찾기 | 개발팀에 묻거나 문서를 일일이 찾아 수작업 입력 | 로그인 과정에서 연결되는 주소를 자동 추출 및 추천 |
| 로그인 정보 확인 | 테스트를 다 돌린 후 에러 로그를 보고 사후 파악 | 테스트 버튼을 누르기 전 즉시 로그인 가능 여부 확인 |
| 설정 오류 발견 | 테스트가 끝날 때까지 수 시간 대기 | 주소 입력 단계에서 수 초 만에 확인 |
| 비정상 응답 처리 | 접속 실패 시 원인을 찾기 위해 네트워크 분석 필요 | 접속 실패 시에도 거쳐간 주소 정보를 즉시 표시 |
| 비용 절감 효과 | 로그인 실패로 테스트가 무효화되면 서버 비용 100% 낭비 | 사전에 확인된 정상 상태에서만 테스트를 진행해 낭비 없음 |
4. 실무 보안 담당자가 얻는 3가지 효과
4.1. 헛도는 테스트 제거
자동화된 배포 파이프라인에서 가장 곤란한 상황은, 몇 시간 동안 돌려둔 모의 해킹 작업이 단순한 비밀번호 오타 때문에 헛돌아가는 것이다. 사전 검증 기능은 로그인 오류를 즉시 알려주어 불필요한 기다림을 없애준다.
4.2. 외부 서비스 오폭 방지
요즘 웹사이트는 PG 결제창, 소셜 로그인, 외부 분석 도구 등 수많은 외부 서비스와 연결되어 있다. 로그인 과정에서 연결되는 주소를 미리 눈으로 확인하고 제외할 수 있어, 남의 회사 서버를 해킹 공격하는 법적 문제를 예방한다.
4.3. 숨어 있던 미등록 주소 발견
개발 문서에는 미처 적혀 있지 않지만 실제 로그인할 때 몰래 호출되는 옛날 서버나 테스트용 주소들이 자동으로 드러난다. 이를 통해 관리의 사각지대에 있던 취약한 서버까지 놓치지 않고 챙길 수 있다.
5. 안전한 테스트를 위한 3단계 운영 체계
모의 침투 테스트를 사내 환경에 적용할 때는 다음 3단계 구조로 안전장치를 마련해야 합니다.
계정 관리부터 사전 검증, 정밀 점검까지 계층별로 분리된 보호 체계
사전 검증이 완료된 안전한 서버 주소만을 대상으로 집중 취약점 점검을 실행한다.
실제 모의 공격을 시작하기 전, 로그인 유효성을 확인하고 외부 서비스 공격을 차단한다.
테스트 전용 임시 계정을 안전하게 발급하고 테스트 종료 시 즉시 폐기한다.
-
테스트 전용 임시 계정 발급
- 실제 관리자 계정이 아니라, 테스트 대상 서버만 들어갈 수 있는 최소한의 권한을 가진 계정을 따로 만들어 사용한다.
-
방화벽 허용 목록 점검
- 사전 점검 트래픽이 사내 방화벽이나 보안 소프트웨어에 의해 차단되지 않도록 테스트용 IP를 미리 확인한다.
-
추천 주소 검토 및 필터링
- 도구가 자동으로 찾아준 주소 목록 중, 내부 테스트 서버와 외부 협력사 주소를 분리하여 내부 서버만 선택한다.
6. 결론: 보안 점검의 낭비를 없애는 방법
이번 기능 개선은 단순히 편리해진 것을 넘어 보안 운영의 낭비를 원천 차단한다는 점에서 의미가 큽니다.
- 업무 시간 단축: 보안 담당자가 일일이 주소를 적고 로그인 에러를 디버깅하느라 밤새는 시간을 없애준다.
- 클라우드 비용 절감: 잘못된 주소나 틀린 비밀번호로 수 시간 동안 헛돌던 클라우드 연산 비용을 획기적으로 아껴준다.
- 보안 감사 대응: 정확히 허가받은 사내 서버에 대해서만 모의 해킹을 수행했다는 기록을 남길 수 있어 안전하다.
결국 모의 해킹 도구는 무작정 공격을 퍼붓는 것보다, 출발선에서 올바른 방향을 잡고 시작하는 사전 검증이 훨씬 중요하다. 이를 통해 기업은 비용을 아끼면서도 보안을 빈틈없이 챙길 수 있다.