Lockpick은 정해진 한도 안에서 누구나 온라인에서 볼 수 있는 내 사이트의 내용을 읽고, 실제로 본 것만 보고합니다.
Lockpick은 낯선 사람이나 공격자가 찾는 것처럼 바깥에서 사이트를 검사합니다. 모든 검사는 사이트가 이미 공개적으로 보여 주는 내용과 도메인에 관한 공개 기록만 읽으며, 그 밖의 것은 읽지 않습니다.
정해진 한도 안에서
스캔 종류마다 넘을 수 없는 고정된 예산이 있습니다.
| Pulse | Deep | |
|---|---|---|
| 쉽게 말하면 | 외부인이나 봇이 사이트를 보는 방식으로 빠르게 살펴봅니다 | 결심한 공격자가 하는 것처럼 사이트를 꼼꼼히 살펴봅니다 |
| 점검 대상 | 홈페이지와 그것이 불러오는 파일, 이메일 발신 설정(SPF 및 DMARC), 보안 헤더와 TLS, 공개 DNS, 인증서 및 하위 도메인 레코드를 최대 10회 요청으로 점검합니다. | 최대 30개의 읽을 수 있는 페이지와 20개의 스크립트, 공개되어서는 안 되는 파일, 관리자 영역, 그리고 API가 있다면 API를 점검합니다. 사이트가 브라우저에서 페이지를 만든다면, Deep이 얼마나 읽을 수 있었는지 보고서에 표시됩니다. |
| 소요 시간 | 보통 15초 이내 | 2분에서 8분 |
| 소유 증명 필요 | 아니요, 사이트를 스캔할 권한이 있는지만 확인합니다 | 예, DNS 레코드, 메타 태그 또는 파일을 추가해 계속 게시해 두어야 합니다 |
- Pulse는 사이트에 최대 10개의 요청을 보내고, Deep 스캔은 최대 200개의 요청을 보냅니다.
- 요청은 간격을 두고 보내며, 사이트가 느려지거나, 실패하거나, 요청을 거부하면 스캔은 일찍 멈춥니다.
- DNS 레코드, 인증서 로그, 도메인 등록 정보를 읽는 것은 사이트에 전혀 접근하지 않습니다.
실제로 본 것만
문제는 그것을 보여 주는 근거와 함께 보고할 때만 나타납니다. 보고서에는 스캔의 각 부분이 무엇을 읽을 수 있었는지가 적혀 있으며, 확인할 수 없었던 항목은 통과가 아니라 확인하지 않음으로 표시됩니다. 문제를 평가하는 방법에서 심각도, 확인된 문제가 보여 줘야 하는 것, 다시 검사로 증명할 수 있는 것을 설명합니다.
먼저 내 허락
모든 스캔은 내가 사이트를 소유하고 있거나 테스트해도 된다고 확인하는 것으로 시작합니다. Deep 스캔에는 소유권 증명과 매번 승인도 필요합니다.
도움이 되었나요?