한빛미디어 - 오픈소스 도구를 활용한 웹 모의해킹과 침해대응
http://www.hanbit.co.kr/store/books/look.php?p_code=E9859656242
전자책 버전으로 리뷰를 한다.
이런 전자책이 많은 모양이다. 책 뒤쪽에 보니 '한빛 리얼타임'이라는 걸 소개해주는데, IT 개발자를 위한 전자책으로 무료로 업데이트되고 DRM-FREE로 제공된다고 한다. PDF라서 여러 군데서 볼 수 있다는 것이다. 대신 페이지마다 간간이 하단에 소유권 문구가 표시되어있다. 불법 공유는 나쁜 것이다.
<핵심적인 내용을 빠르게 전달>
사실 전자책은 별로 좋아하지 않는다. 전자책을 보는 기기 자체가 컴퓨터, 태블릿 등이라 자꾸 딴짓을 하고 싶고 종이를 넘기는 기분도 안 나서 집중이 잘 되지 않는다. PDF도 물론 스티커 노트 기능을 지원하지만 포스트잇을 붙여두는 느낌과는 또 다르다. 중간중간 밑줄 긋고 표시해두는 것도 물론 못한다. 대신 전자책이라서 검색이나 복사하고 붙여넣기 등은 편하게 할 수 있어서 개발 관련 서적이라면 유용하게 사용할 수 있겠다는 생각도 든다.
<은근히 입력하기 귀찮은 디지털 포스트잇>
책에서는 제목에서 알 수 있듯 모의해킹과 침해 대응에 관한 주제를 다룬다. 일반 프로그래머라서 모의해킹이나 침해대응과는 사실 업무적으로도 멀고 흥미가 많은 편은 아니다. 하지만 웹 개발을 하다 보면 취약점 점검은 빼먹을 수 없다.
취약점에 대한 간단한 소개를 먼저 하고 사용하는 툴과 명령어, 도구 모음에 대해 설명한다. 마지막으로는 분석에 대한 결과를 보여준다. 개발을 하다 보면 어떤 작업이 필요하게 되고 인터넷으로 검색해서 여러 블로그의 글을 참고하게 된다. 이 책을 읽다 보면 이런 블로그들의 내용을 잘 정리해둔 내용을 보는 느낌이 든다. 보통 인터넷 블로그의 글을 보면서 그냥 따라만 하다 보면 잘 안되는 부분도 많고 정확하지 않은 내용도 많다. 하지만 하나의 책으로 정리를 해두었기 때문에 사용자 입장에서 편하게 잘 따라 할 수 있게 설명되어있다. 하지만 매뉴얼대로 따라만 하다 보면 갖춰진 틀 안에서만 실습을 하게 되는 문제도 있다. 또 따라 하기에 분량이 적은 편이 아니라 작정하지 않으면 시작도 하기 전에 포기하게 될지 모른다.
<따라 하기 쉽게 되어있다>
개인적으로 책에서는 새로운 지식을 얻고 작가의 생각을 엿보고 공감하는 것을 좋아하는 편이다. 하지만 이 책은 모의해킹에 대한 툴을 소개하고 그 사용법을 다루는 것이 전체 내용의 대부분을 차지한다. 실습에 관한 설명이 대부분이라 굉장히 딱딱한 문체이고, 잘 모르는 분야다 보니 읽다가 부분부분 진행이 매끄럽지 못하고 막히는 부분도 있다. 리눅스 명령어에 대해서도 기본적인 것은 알고 있어야 할 것 같다. 취약점에 대한 이론적인 설명도 내용이 부실하다. 물론 책 분량 문제도 있고 취약점에 관한 내용으로만 책 한 권도 부족할 수도 있다. 툴 안의 도구에 대한 설명은 자세하게 써두었는데 과연 필요 없는 기능에 대한 설명이 굳이 필요할까 하는 생각도 들었다.
<툴바에 대해 이렇게까지 설명이 필요할까?>
저자가 여러 명이고 글을 쓰는데 있어 어떻게 나누었는지는 모르겠지만 챕터별로 내용에 차이가 좀 있다. 모의해킹에 관한 책이고 취약점에 대한 설명도 부족한데 뜬금없이 정규 표현식에 대한 내용이 몇 장에 걸쳐 나오는가 하면 어떤 챕터에서는 갑자기 퀴즈가 나온다.
취약점 항목별 스노트 분석에 대한 내용은 만족스러웠다. 여러 가지 취약점에 대한 이론적인 내용을 접해보긴 했지만 실제로 취약점으로 공격이 들어오면 어떤 모습이 되는지 궁금했는데 스크린샷으로 나와있어서 이해하기 쉬웠다.
실제 웹서비스를 개발할 때도 이런 유명한 취약점에 대해서는 항상 검사를 하게 된다. SQL injection, XSS 등은 직접 테스트를 해보기도 한다. SI 사업을 할 때는 특히 모의해킹을 하는 것 자체가 사업이 될 때도 있었다. 정부 관련 사이트에서조차 실제로 취약점이 다수 발견되기도 한다. 이 책으로 실습을 한다면 취약점을 점검하고 방어하는 대책을 세울 수도 있지만 반대로 실제 사이트를 대상으로 실습을 한다면 공격도 가능하다는 이야기다. 그만큼 취약점에 대해 대수롭지 않게 생각하는 개발자가 많은 것 같다. 유명한 취약점일수록 조치도 빨리 되고 패치도 금방 나오지만 그만큼 신경을 안 쓰게 될 수도 있으니까 주의가 필요하겠다. 실제 사이트를 대상으로 모의해킹에 성공한다면 뿌듯함도 있겠지만 잘못하면 경찰서에 끌려갈 수 있다는 걸 항상 염두에 두도록 한다.
이 책은, 도구와 실습에 대한 내용이 주를 이루고 있어서 단지 관심이 있거나 공부하기 위해서라면 추천하지 않는다. 짬을 내서 책을 보는 경우가 많은데 실습 환경 앞에서 일일이 확인해가며 보기엔 힘들기 때문이다. 물론 환경이 되고 정보 보호에 관심이 많다면 따라 해보는 것이 도움은 될 수 있겠다. 하지만 '일반적인 개발자' 라면 대부분 전자가 아닐까 하고 생각해본다.
