browserscan by Rapid7

해외 보안 업체인 Rapid7에서 browserscan이라는 웹 어플리케이션을 공개한 적이 있다. 이는 브라우저를 버전을 스캔하는 것이 아닌 브라우저와 함께 연동하는 플러그-인 프로그램들의 버전을 확인해 주는 웹 어플리케이션이다.

구글, 야후 혹은 네이버 같이 사용자 수는 많은곳은 보안이 탄탄해서 공격자의 입장에서 Work Factor가 증가하게 된다면 여간 까다로은게 아닐 것이다. 그렇다면 사용자 수 그대로 유지하면서 공격하기 위해서 해당 기업과는 다르게 별개로 운영되고 있는 광고 기업을 대상으로 공격하는 것이 Work Factor적으로 효율적이게 된다.

같은 원리로 사용자들이 인터넷을 사용하기 위해 필수인 브라우저 또한 만든 기업에 따라 보안적인 요소가 강하다고 할 수 있다. 그렇다면 이를 우회하기 위해 브라우저가 필수적으로 사용하는 플러그인들의 취약점을 찾아내는 것이 브라우저의 자체적인 취약점을 찾는것 보다 효율적이라는 점이다.

일반적으로 운영체제에 종속적인 프로그램의 경우에는 운영체제의 업데이트를 통해 한번에 보안패치를 할 수 있지만, 플러그-인들은 '자동업데이트'를 한다고 하여도 제대로 업데이트가 되었는지에 대한 확인은 까다롭기 까지 하다. 

일반적으로 브라우저의 플로그-인은 Java plug-in, Adobe Flash player, MS Silverlight 등이 있을 것이다. 이에 대한 제로데이 공격을 막을 수는 없지만, 이미 보안 패치가 완료된 공격은 충분히 막을 수 있는 것으로 생각해 보았을 때 안티바이러스 백신은 필수적인 것과 같이 주기적으로 버전 확인을 해 볼 필요성이 있다고 생각을 한다.

Rapid 7 - browserscan : browserscan 이용하기

Rapid 7 Community - SecurityStreet : browserscan 소개글