자산 생성하기

Xint에서 점검을 시작하려면 먼저 사이트를 자산으로 등록해야 합니다. 이후 같은 사이트를 반복 점검할 때는 다시 등록할 필요 없이, 이 자산 아래에 스캔을 새로 생성하여 실행하기만 하면 됩니다.

자산 생성 단계는 크게 5단계로 나뉘어 있습니다.

1. 대상 URL 설정

자산의 시작점이 될 URL을 입력하고 “탐색” 버튼을 눌러주세요. Xint가 입력한 URL에 접근 가능한지 확인하고, 추천 도메인을 자동으로 제안합니다.

점검 트래픽을 어떻게 보낼지에 대한 옵션입니다. 일반적인 사이트라면 기본값 그대로 두어도 됩니다.

Xint의 스캔 엔진은 웹사이트 접속 시 HTTPS 인증서의 유효성을 검증합니다. 대상 사이트의 TLS 인증서에 문제가 있다면 보안상 접속이 차단되어 스캔이 실패합니다.

이 옵션을 활성화하면 인증서 유효성 검사를 건너뛰고 접속을 시도합니다.

옵션을 활성화해야 하는 경우

자체 서명된 인증서 (Self-signed Certificate): 공인된 기관(CA)이 아닌, 자체적으로 발급한 인증서를 사용하는 경우
인증서 만료: 사이트의 인증서 유효 기간이 지난 경우
호스트명 불일치: 인증서에 등록된 도메인이 대상 URL과 일치하지 않는 경우

Xint가 점검 중 HTTP 요청을 보낼 때 사용할 User Agent 헤더를 지정합니다.

모바일 브라우저의 User Agent로 점검하거나, 서버 로그 식별을 위해 특정 문자열을 삽입할 때 활용합니다.

사이트 접근에 HTTP Basic Authentication이 필요한 경우 이 옵션을 활성화합니다.

Origin: Basic Authentication이 설정된 URL이 여러 개인 경우, 이 값을 설정해 인증이 필요한 URL을 모두 포함하도록 합니다.

점검 트래픽을 특정 Proxy URL로 보내고 싶을 때 사용합니다.

내부 네트워크나 제한된 환경에서만 접근 가능한 대상에 대해 점검을 수행해야 할 때 유용합니다.

Xint는 스캔 범위 안에 포함된 URL에 대해서만 점검을 수행합니다. 타겟 URL을 기반으로 추천 도메인이 자동 제안되니, 상황에 맞게 도메인을 추가하거나 제외하여 점검 범위를 조정해 주세요.

설정한 스캔 범위 중 스캐너가 접근하지 않아야 하는 URL이 있다면 제외 URL로 지정해 스캔 범위를 세부적으로 조정할 수 있습니다.

입력 가능한 제외 URL의 형식은 다음과 같습니다.

테스트할 취약점 카테고리를 지정합니다.

특정 요일 및 시간대에만 점검을 허용하고 싶다면 이 설정을 통해 스캔 실행을 제어할 수 있습니다.

허용 시간 외에는 진행 중인 스캔이 자동으로 일시 정지되고, 허용 시간이 되면 자동으로 재개됩니다.

목록에서 식별할 수 있도록 자산에 이름을 지정하고, 앞에서 입력한 설정들을 검토합니다.

검토가 완료되면 “생성하기” 버튼을 눌러 자산을 생성합니다.

자산이 생성되면 바로 첫 스캔을 생성할 수 있습니다. 스캔 실행 시점에 인증 정보(테스트 계정)와 스캔 모드, API 문서 같은 실행 단위 옵션을 추가로 지정하게 됩니다.

자세한 내용은 스캔 실행하기를 참고해 주세요.