오늘날에는 “스캔을 실행하는 것”만으로는 더 이상 충분하지 않습니다. 기존 방식의 침투 테스트도 마찬가지입니다.
웹사이트, 웹 앱, SaaS 플랫폼 또는 API는 겉보기에는 문제가 없어 보여도 무단 접근, 노출된 데이터, 우회될 수 있는 비즈니스 로직을 숨기고 있을 수 있습니다. 중요한 것은 경보를 울리는 것이 아니라, 정말 중요한 것을 찾아내고 그것을 입증하는 것입니다.
저렴하지만 맹목적
비즈니스 로직을 볼 수 없고 오탐으로 가득합니다. 수백 건의 경보를 남기지만 실제로 악용 가능한 것이 무엇인지에 대한 확신은 전혀 주지 못합니다
철저하지만 느림
비용이 많이 들고 확장하기 어렵습니다. 희소한 전문성과 소수의 조직만 감당할 수 있는 일정에 의존합니다.
철저하고 확장 가능
전문가 팀의 깊이에 에이전틱 AI가 가능하게 하는 속도와 커버리지를 더했습니다. 모든 발견 사항은 사람이 검증합니다.
인간의 지휘. 대규모 레드팀.
모든 침투 테스트는 보안 팀의 기술적 책임 아래 인간의 지휘로 진행됩니다. 전문가가 무엇을 테스트할지 결정하고 결과를 승인하며, AI 에이전트는 전체 공격 표면에 걸쳐 병렬로 작업합니다.
지휘하는 침투 테스터
전략을 세우고, 무엇을 테스트할지 결정하고, 맥락을 해석하고, 실제 취약점과 노이즈를 구분하며, 보고서에 서명합니다. 기계는 탐색하고, 사람은 결정합니다.
고급 에이전트
익스플로잇 체이닝, 영향 분석, 다단계 시나리오, 클라우드 및 멀티테넌트 환경, 복잡한 API, 핵심 기능.
시니어 에이전트
인가, 인증, 비즈니스 로직, BOLA / IDOR, 워크플로 악용, 신호 상관 분석.
주니어 에이전트
정찰, 매핑, 엔드포인트와 파라미터, OWASP 체크리스트, 알려진 설정 오류, 반복되는 패턴.
왜 에이전틱 AI인가
실제 네트워크를 대상으로 한 독립 연구에 따르면 에이전틱 AI 프레임워크는 커버리지 면에서 공인 인간 침투 테스터와 대등하지만 판단력에서는 여전히 뒤처집니다. 그래서 최종 결정은 언제나 사람에게 있습니다. 참고: J. W. Lin et al., arXiv:2512.09882.
하나의 서비스, 귀사의 전체 공격 표면
웹 앱에서 인프라까지, AI 모델에서 소스 코드까지. 하나의 방법론, 여섯 가지 커버리지 영역, 귀사와 합의한 범위에 맞춰 구성됩니다.
웹 & SaaS
웹사이트, 포털, 웹 앱, SaaS 플랫폼: 인증, 인가, 비즈니스 로직, 데이터 노출.
API
REST, GraphQL, 머신 간 서비스: BOLA / IDOR, 워크플로 악용, 입력 검증, 요청 속도 제한.
모바일 앱
OWASP MASVS를 따르는 iOS 및 Android: 로컬 저장소, 통신, 클라이언트 측 보안 강화, 연결된 백엔드.
인프라 & 네트워크
외부 및 내부 경계, 클라우드 및 멀티테넌트 영역, 세분화, 설정 오류, 노출.
AI / LLM 보안
AI 모델 및 AI 기반 애플리케이션: 프롬프트 인젝션, 데이터 유출, 에이전트 악용, 추론 제어.
보안 코드 리뷰
공격자 관점의 코드 리뷰: 소스 수준의 취약점, 의존성, 빌드 파이프라인.
최대한의 깊이, 즉흥은 없습니다
우리는 귀사의 데이터가 평문 상태로 외부에 나가지 않도록 하면서 첨단 AI 모델을 사용합니다. 모든 프로젝트는 폐쇄 루프를 따릅니다. 데이터는 보호된 상태로 들어와 격리된 환경에서 존재하다가 작업이 끝나면 사라집니다. 어떠한 경우에도 고객 데이터는 모델 학습에 사용되지 않습니다.
비식별화
호스트, 자격 증명, 식별자, 민감한 참조 정보는 외부 처리 전에 가명화됩니다. 모델은 익명화된 버전만 보게 됩니다.
전용 암호화 환경
각 고객은 이탈리아 내 ACN 인증 클라우드 인프라에서 호스팅되는 자신만의 암호화된 격리 환경을 제공받습니다. 접근은 세션 토큰으로만 이루어지며, 영구적인 자격 증명은 사용하지 않습니다.
프로젝트 종료 시 파기
보고서 전달이 확인되면 환경은 모든 데이터, 로그, 토큰과 함께 파기됩니다. DORA와 NIS2에서 요구하는 추적성을 위해 최소한의 실행 기록만 보존됩니다.
경영진이 읽을 수 있고 기술팀이 바로 조치할 수 있는 보고서
- 모든 취약점은 요청과 응답, 스크린샷, 타임스탬프, 심각도(CVSS 3.1), 영향이라는 증거로 뒷받침됩니다.
- 확인된 사항과 아직 검증이 필요한 사항을 명확히 구분합니다. 노이즈는 없습니다.
- 조치 우선순위와 귀사의 조치 계획을 위한 구체적인 토대.
- 시간이 지나도 수정 사항을 검증할 수 있도록 재테스트 및 정기 평가 계획을 제공합니다.
방법론 및 프레임워크
세 가지 모델. 하나의 방법론.
동일한 지휘 체계를 귀사의 공격 표면과 대응해야 할 위험에 맞춰 구성합니다. 최종 견적은 합의된 범위를 기준으로 산정됩니다.
스몰 비즈니스
소개용 웹사이트, 랜딩 페이지, WordPress 사이트, 소규모 이커머스 스토어, 단순한 애플리케이션 또는 경량 API.
미드사이즈 비즈니스
디지털 플랫폼, 복잡한 이커머스, 고객 포털, 웹 기반 업무 관리 시스템, 인증이 필요한 기업용 API.
엔터프라이즈
기업 그룹, 복잡한 인프라, 멀티테넌트 SaaS, API 에코시스템, NIS2 또는 DORA 요건의 적용을 받는 조직.
고정 가격표는 없습니다. 모든 프로젝트는 실제 범위(경계, 깊이, 제약 조건)를 기준으로 견적이 산정됩니다. 견적은 문의해 주세요.
규정은 도구가 있는지 묻지 않습니다. 증거를 요구합니다.
NIS2, DORA, ISO/IEC 27001, GDPR는 모두 증거, 통제, 위험 관리를 요구합니다. 문서화된 침투 테스트는 제시할 수 있는 가장 구체적인 증거 중 하나입니다.
NIS2
보안 및 사고 관리 의무를 뒷받침하는 테스트와 위험 평가.
DORA
디지털 운영 복원력: 금융 부문을 위한 정기 테스트와 전체 활동의 추적성.
ISO/IEC 27001
경영 시스템 통제 및 인증 프로세스를 뒷받침하는 증거.
GDPR
개인정보를 보호하는 기술적 조치의 검증과 데이터 유출 위험 감소.
결정하는 사람, 확장되는 기술
이 서비스는 공격 보안 및 감사 자격을 보유한 침투 테스터와 보안 엔지니어로 구성된 팀이 제공하며, ISO/IEC 27001 선임 심사원이 총괄합니다. 이는 Magellano Tech가 인증받은 통합 경영 시스템을 구축하게 한 것과 같은 보안 및 컴플라이언스 문화입니다.
Certified Offensive AI Expert (Hack The Box)
우리 팀은 전 세계에서 최초로 발급된 HTB COAE 인증 중 하나이자 이탈리아 최초 중 하나를 보유하고 있습니다. 이는 실제 AI 인프라를 대상으로 한 7일간의 실습 프로젝트를 거쳐 상용 수준의 기술 보고서를 제출함으로써 취득하는 AI 레드팀 자격입니다. 이러한 전문성이 AI 및 LLM 시스템에 대한 우리의 테스트와 공격 에이전트의 오케스트레이션을 이끌고 있습니다.
감사 전문가만이 아닌, 소프트웨어 하우스
우리는 소프트웨어, SaaS 플랫폼, AI 솔루션을 만듭니다. 코드를 안에서부터 알고 있습니다. 애플리케이션을 테스트할 때 어디를 봐야 하는지 알고 있는 것은 매일 그와 같은 애플리케이션을 만들고 있기 때문입니다.
이탈리아 내 ACN 인증 클라우드 위의 인프라, 그리고 인증받은 정보보안 및 AI 경영 시스템. 컴플라이언스는 부가 기능이 아니라 우리의 업무 방식입니다.
공격자가 찾아내기 전에, 무엇을 발견할지 먼저 확인하세요
보호해야 할 대상을 알려 주세요. 함께 범위를 정하고 우리의 업무 방식을 보여 드리겠습니다. 부담은 없습니다.