멋진 공격 표면 관리

공격 표면 관리(ASM), 외부 공격 표면 관리(EASM) 및 지속적인 보안 모니터링을 위한 도구, 리소스 및 모범 사례의 엄선된 목록입니다.

공격 표면 관리는 조직의 외부 디지털 자산을 지속적으로 발견, 분석, 분류 및 모니터링하여 취약점을 식별하고 사이버 위험 노출을 줄이는 것입니다.

정찰 및 발견

서브도메인 열거

Subfinder - 여러 소스를 사용하는 빠른 패시브 서브도메인 열거 도구.
Knock - 워드리스트 및 존 전송 지원이 포함된 서브도메인 스캐너.
Findomain - 모니터링 기능이 있는 크로스 플랫폼 서브도메인 열거기.
chaos-client - ProjectDiscovery의 Chaos 데이터셋 API를 쿼리하는 클라이언트.
Sudomy - 분석 및 보고 기능을 갖춘 서브도메인 열거.
alterx - DSL을 사용하는 서브도메인 워드리스트 생성기.

DNS 검색

MassDNS - 대량 조회를 위한 고성능 DNS 스텁 리졸버.
dnsx - 여러 DNS 쿼리를 지원하는 빠른 DNS 툴킷.
dnsgen - DNS 검색을 위한 도메인 조합 및 순열 생성.
altdns - 변형 및 순열을 통한 서브도메인 발견.
dnsrecon - 여러 유형의 DNS 레코드를 지원하는 DNS 열거 스크립트.
fierce - 비연속 IP 공간을 찾기 위한 DNS 정찰 도구.
shuffledns - 능동적 무차별 대입을 통한 DNS 열거를 위한 massdns 래퍼.
asnmap - ASN 정보를 사용하여 조직 네트워크 범위를 빠르게 매핑.

인증서 투명성

crt.sh - CT 로그를 위한 인증서 검색 웹 인터페이스.
Cert-Stream - 실시간 인증서 투명성 로그 모니터링.
CertSpotter - 인증서 투명성 로그 모니터.
Censys - 인터넷 전체 스캔 및 인증서 투명성 검색.

네트워크 스캐닝

Nmap - 광범위한 스크립팅 기능을 갖춘 네트워크 발견 및 보안 감사.
Masscan - 전체 인터넷을 스캔할 수 있는 TCP 포트 스캐너.
RustScan - 속도와 자동화에 중점을 둔 현대적인 포트 스캐너.
Naabu - 신뢰성에 중점을 둔 Go로 작성된 빠른 포트 스캐너.
ZGrab2 - 대규모 연구를 위한 빠른 애플리케이션 계층 스캐너.
Shodan - 인터넷 연결 장치를 위한 검색 엔진.
Onyphe - 오픈 소스 정보 수집을 위한 사이버 방어 검색 엔진.
Katana - 차세대 크롤링 및 스파이더링 프레임워크.
Uncover - 여러 검색 엔진을 사용하여 인터넷에 노출된 호스트를 빠르게 발견.

API 발견

Goctopus - 서브도메인 열거, 스크립트 분석 및 무차별 대입을 사용하는 초고속 GraphQL 엔드포인트 파인더.
httpx - 웹 서비스 및 API 엔드포인트 프로빙을 위한 빠르고 다목적 HTTP 툴킷.
SecLists API - 웹 애플리케이션 API 퍼징에 사용되는 API 이름 워드리스트.

OSINT 프레임워크

theHarvester - 공개 소스에서 이메일, 서브도메인 및 이름 수확기.
SpiderFoot - 웹 UI가 포함된 자동화된 OSINT 정찰 도구.
OWASP Maryam - 웹 검색 및 정보 수집을 위한 모듈식 OSINT 프레임워크.
Maltego - 링크 분석이 포함된 대화형 데이터 마이닝 도구.

핑거프린팅 및 기술 탐지

웹 기술 탐지

Wappalyzer - CMS, 프레임워크, 분석 도구를 식별하는 기술 프로파일러.
WhatWeb - 기술, 버전 등을 식별하는 차세대 웹 스캐너.
Webanalyze - 대량 웹사이트 분석을 위해 Go로 작성된 Wappalyzer 포트.
retire.js - 알려진 취약점이 있는 JavaScript 라이브러리 사용을 탐지하는 스캐너.
wappalyzergo - Wappalyzer 기술 탐지 라이브러리의 Go 구현.

서비스 핑거프린팅

Nmap NSE Scripts - 서비스 및 버전 탐지를 위한 광범위한 스크립팅 엔진.
wafw00f - 웹 애플리케이션 방화벽 핑거프린팅 도구.
CMSeeK - CMS 탐지 및 익스플로잇 제품군.

클라우드 플랫폼 탐지

Cloudfinder - 주어진 호스트의 클라우드/호스팅 제공자 탐지.
CloudFlair - CloudFlare 뒤에 있는 웹사이트의 원본 서버를 찾는 도구.
cloud_enum - 공개 리소스 찾기를 위한 멀티 클라우드 OSINT 도구.
CloudMapper - AWS 환경의 보안 상태 분석.
ScoutSuite - 멀티 클라우드 보안 감사 도구.
Prowler - AWS/Azure/GCP 보안 평가 및 규정 준수.

클라우드 공격 표면 관리

Cartography - 인프라 자산과 관계를 그래프로 통합.
Cloudsploit - 클라우드 보안 구성 스캐너.
Pacu - 보안 테스트를 위한 AWS 익스플로잇 프레임워크.
CloudSplaining - AWS IAM 보안 평가 도구.
CloudCustodian - 클라우드 보안 및 거버넌스를 위한 규칙 엔진.
Steampipe - SQL을 사용하여 클라우드 인프라 쿼리.
Cloudlist - 멀티 클라우드 자산 목록 도구.

오픈 소스 ASM 플랫폼

OWASP Amass - 여러 기술을 사용한 심층 공격 표면 매핑 및 자산 발견.
ArcherySec - ASOC, ASPM, DevSecOps, 취약점 관리 플랫폼.
AttackSurfaceMapper - 정찰 과정을 자동화하는 도구.

상용 ASM 플랫폼

Attaxion - 에이전트 없는 EASM 플랫폼으로 공격 표면 발견, 취약점 평가, 지속적인 모니터링 제공.
BitSight - 보안 등급 및 위험 모니터링 플랫폼.
Censys ASM - ASM을 위한 인터넷 인텔리전스 플랫폼.
CyCognito - 자율 테스트를 통한 외부 공격 표면 관리.
Escape ASM - 지속적인 발견과 자동화된 보안 테스트가 포함된 공격 표면 관리.
JupiterOne - 사이버 자산 공격 표면 관리 플랫폼.
Qualys CSAM - 사이버 보안 자산 관리 플랫폼.
Recon Wave - DNS 데이터셋, 포트 스캐닝 및 취약점 탐지를 갖춘 에이전트 없는 인프라 모니터링 플랫폼.
RiskIQ (Microsoft Defender EASM) - 외부 공격 표면 발견 및 모니터링.
SecurityScorecard - 보안 등급 및 지속적인 모니터링.
Tenable.asm - 외부 공격 표면 관리 솔루션.

자동화 및 오케스트레이션

Axiom - 분산 보안 테스트를 위한 동적 인프라 프레임워크.
Sn1per - 정찰 기능을 갖춘 자동화된 펜테스팅 프레임워크.
ReconFTW - 여러 도구를 위한 자동화된 정찰 래퍼.

리소스

블로그 및 기사

기여하기

기여는 언제나 환영합니다! 먼저 기여 가이드라인을 확인해 주세요.

이 주관적인 목록에 대해 궁금한 점이 있으시면 Twitter에서 @escapetechHQ로 연락하거나 GitHub에 이슈를 열어 주세요.

🤝 팀에 합류하세요

우리는 사이버보안에 더 많은 AI 기반 혁신을 가져올 때라고 믿으며, 이 꿈을 함께 이루는 데 여러분의 도움을 간절히 원합니다! 모험에 함께하시겠습니까? 채용 페이지를 확인해 보세요!

인기

awesome-attack-surface-management

인기