WordPress 사이트 또는 Supabase 지원 앱을 실행하는 경우 보안 플러그인을 설치할 것인가, 아니면 외부 보안 스캐너를 실행할 것인가라는 갈림길에 서게 되었을 것입니다. 둘 다 문제를 찾을 것을 약속합니다. 그들은 같은 장소에서 귀하의 사이트를 보지 않으며, 그 차이가 전체 구매 결정입니다.
플러그인은 이미 가지고 있는 액세스 권한을 사용하여 사이트 내부를 검사합니다. 스캐너는 공격자가 갖고 있는 것과 동일한 유리한 지점에서 외부에서 사이트를 검사합니다. 어느 쪽도 다른 쪽을 대체할 수는 없지만 서로 다른 사각지대가 있습니다. 실제로 어느 것이 필요한지, 언제 둘 다 필요한지 확인하는 방법은 다음과 같습니다.
보안 플러그인이 사이트 내부에서 확인하는 내용
WordPress 보안 플러그인은 사이트에서 코드로 실행되므로 방문자가 절대 볼 수 없는 것을 볼 수 있습니다.
로그인 및 사용자 활동. 실패한 로그인 시도, 무차별 대입 패턴, 취약한 비밀번호, 새로운 관리자 계정 및 사용자 역할 변경.
파일 무결성. 코어, 테마 또는 플러그인 파일이 예기치 않게 변경되었는지 여부.
앱 계층의 방화벽 규칙. 애플리케이션이 처리하기 전에 알려진 악성 요청 패턴을 차단합니다.
악성 코드 및 콘텐츠. 삽입된 스크립트 또는 스팸 링크가 있는지 업로드 및 게시물을 검사합니다.
그러한 내부 시각은 정말 유용합니다. 플러그인은 시간이 지남에 따라 의심스러운 동작을 감시하고, 새 관리자 계정에 대해 경고하고, 로그인 공격이 발생하는 동안 이를 차단할 수 있습니다. WordPress 사이트를 매일 관리하는 경우 애플리케이션 계층 플러그인이 합리적인 기준입니다.
문제는 플러그인이 설치된 환경 내부에서만 무슨 일이 일어나는지 알고 있다는 것입니다. 플러그인을 설치하고 구성하고 계속 업데이트해야 합니다. 귀하의 사이트와 동일한 권한으로 실행되므로 애플리케이션 계층에 도달하는 손상은 이를 감시하는 도구에도 영향을 미칠 수 있습니다. CMS 외부의 적용 범위는 플러그인에 따라 다릅니다. 도메인, TLS 및 이메일 구성에는 별도의 확인이 필요할 수 있습니다.
플러그인이 놓친 외부에서 도메인 기반 스캐너가 보는 것
외부 스캐너에는 자격 증명, 설치 또는 관리자 액세스가 필요하지 않습니다. 인터넷에서 보는 방식으로 도메인을 테스트하고 각 결과 뒤에 숨은 증거를 보고합니다.
운송 및 도메인 위생. TLS 인증서 구성, HTTP 보안 헤더, DNS 레코드 및 도메인 스푸핑 가능 여부를 결정하는 이메일 인증 레코드입니다.
노출된 표면. 연결 가능하지만 공개할 의도가 전혀 없는 엔드포인트, 파일 및 서비스입니다.
구성 실수. 기본 설정, 자세한 오류, 액세스 제어 누락, Supabase 행 수준 보안 정책과 같은 잘못 구성된 스토리지.
CMS를 넘어서는 범위. 선택한 스캔과 사용 가능한 액세스에 따라 웹 애플리케이션, WordPress 설치, Supabase 및 RLS, AI 또는 RAG 애플리케이션이 있습니다.
이는 공격이 일반적으로 시작되는 방식을 매핑하는 보기입니다. 공격자는 관리 대시보드에서 시작하지 않습니다. 공개적으로 접근 가능한 것부터 시작됩니다. 스캐너는 플러그인이 구조적으로 할 수 없는 질문에 답합니다. 로그인한 적이 없는 사람에게 내 사이트는 어떻게 보일까요?
정직한 한계는 범위입니다. 스캔은 해당 스캔 중에 도달할 수 있는 항목을 테스트하고, 깨끗한 점수는 테스트된 범위만 설명합니다. 사이트가 완전히 안전하다는 것은 인증서가 아니며 어떤 도구도 모든 취약점을 탐지할 수 있다고 보장할 수 없습니다.
둘이 겹치는 곳과 실제로 격차가 있는 곳
두 가지 모두 일부 애플리케이션 계층 문제를 드러낼 것이므로 비용을 두 번 지불하는지 묻는 것이 타당합니다.
겹치는 부분은 실제적이지만 좁습니다. 플러그인의 방화벽과 스캐너의 노출 검사는 모두 취약한 플러그인 버전이나 명백한 구성 오류를 표시할 수 있습니다. 격차는 도메인, 인증서, 헤더, DNS 및 이메일 기록, 앱이 의존하는 클라우드 서비스, 공용 인터넷에 조용히 응답하는 엔드포인트 등 애플리케이션 주변의 모든 것입니다. 외부 스캐닝이 그 자리를 차지하는 곳이며 많은 플러그인이 완전히 다루지 않는 계층입니다.
증거에도 차이가 있습니다. 플러그인은 종종 사이트 내부에 뭔가 의심스러워 보이는 것을 알려줍니다. 스캐너는 노출된 헤더, 도달 가능한 경로 또는 누락된 정책을 표시한 다음 조치를 취할 수 있는 수정 지침과 다시 스캔하고 변경 사항이 적용되었는지 확인하는 방법을 제공합니다.
겹치거나 노력을 낭비하지 않고 두 가지를 결합하는 방법
두 도구는 상호보완적이며 분할은 간단합니다. 앱 내부 동작에는 플러그인을 사용하고, 인터넷이 접근할 수 있는 모든 것에 대해서는 스캐너를 사용하세요.
먼저 외부 검사를 실행하세요. 설치가 필요하지 않으므로 몇 분 안에 공격자의 시각을 제공하고 어떤 구성 문제가 공개적으로 표시되는지 알려줍니다.
검색 결과를 수정한 후 다시 검색하세요. 수정 사항을 수동으로 표시하면 재검사가 요청되지만 유사한 재검사를 통해서만 실제로 해결되었음을 확인할 수 있습니다. 수정 추적은 루프를 닫을 때만 유용합니다.
런타임 동작을 위해 플러그인을 유지하세요. 로그인 공격, 악성코드, 파일 변경 등이 내부 이벤트로 진행되고 있습니다. 플러그인이 이를 지켜보도록 하세요.
일정에 따라 모니터링합니다. 이메일 또는 Discord 경고를 통한 예약 검사는 전담 보안 팀 없이도 스택 변경에 따라 외부 보기를 최신 상태로 유지합니다.
부동산이 두 개 이상인 경우 계획 분할이 중요한 부분이기도 합니다. Solo는 귀하가 소유한 단일 제품에 적합합니다. Pro는 공유 도메인, 결과, 스캔 및 계획 할당량과 함께 추가 유료 시트를 통해 화이트 라벨 보고서와 팀 액세스를 추가하여 클라이언트 사이트 및 팀에 적합합니다.
실제로 어느 것이 필요합니까?
WordPress 사이트를 유지 관리하고 해당 사이트에서 작업하는 동안 보호를 원합니다. 보안 플러그인은 합리적인 시작이지만 도메인이 노출하는 내용을 알려주지는 않습니다.
앱을 구축하거나 호스팅하고 공개적으로 접근할 수 있는 항목이 무엇인지 알고 싶습니다. 외부 스캐너가 필요합니다.
프로덕션 환경에서 Supabase, WordPress 또는 AI/RAG 애플리케이션을 실행합니다. 외부 검사를 스택에 적합한 제어와 결합합니다. WordPress 플러그인은 WordPress에만 적용됩니다.
실수는 이것을 둘 중 하나의 결정으로 취급하는 것입니다. 플러그인은 사이트 내부를 보호합니다. 스캐너는 외부가 보는 것을 알려줍니다. 대부분의 소규모 팀은 해당 라인의 양쪽에 실제 노출이 있습니다.
VICE는 외부 보기용으로 구축되었습니다. 선택한 스캔에 따라 WordPress, Supabase 및 RLS, AI/RAG 등 웹 애플리케이션 전체에서 증거, 수정 지침 및 수정 사항을 확인하기 위한 재스캔이 포함된 실행 가능한 결과를 제공합니다. 가입하기 전에 무료로 간단한 보안 검사를 시작할 수 있으며, 등록 시 도메인과 결과가 계정에 저장됩니다. 전체, 사용자 정의 및 특수 스캔에는 확인된 도메인과 유료 구독 또는 구매한 크레딧이 필요합니다. 도메인이 외부에서 어떻게 보이는지 정확히 확인하려면 무료 검사를 시작하고 결과를 플러그인에서 알려주는 내용과 비교하세요.
