16년 02월 01일
이색적인 컨설팅을 위해 오픈소스로 제작된 피싱 테스트 도구를 구축하고 테스트하는데, 실제 서비스를 제공하는 회사의 메일주소를 도용하려했다. 예를 들면, 고객사에서 안랩 제품을 쓰고있다면 안랩을 신뢰할 수 있기에 안랩의 이메일 도메인을 쓰는 형태로 말이다. 하지만 지메일이나 네이버메일에서는 실제 발송인과 도메인 주소가 같지않아 자동으로 스팸처리하거나 아예 받지 않는 형태로 자동대응하고 있었다. 그래서 로컬에 DNS를 구축해서 운영해보려고 bind9을 보는데 토나올것 같고, 가지고 있는 도메인으로 테스트해보려니 어차피 다시 다른 도메인으로 보내는 거니 불가능해 보였다. 결국 지메일 smtp 릴레이 서버를 이용하여 아이피가 아닌 지메일로 보내는 형태로 구축했다. 적어도 스팸분류나 차당당하지는 않더라. 이젠 피싱 템플릿 싸움과 파일 어태치 할 요소 그리고 외부 진단요원들이 원활하게 이용할 수 있게 웹 서버로 구현하면 될 것 같다. 그리고 로컬 응용프로그램인 아웃룩과 썬더메일에선 어떻게 동작할지도 테스트 해야한다. 내일 내로 끝내버려야지.
기술사수(사수가 여럿 있어서...)와 피싱을 어떻게 테스트할 것인가로 의논하는 와중에 "그 정돈 자체적으로 구축해서 쓰지 그러냐?회사 이름걸고.. 무엇보다 저 도구가 php라서 웹서버 운영할때 보안에 취약할 수 있어. 너네 인프라 약하잖아!" 그러길래 "저 1인 팀인데요..언제...해요ㅠㅠ" 라고 변명했다. 이래서 작은 기업은 보안에 신경쓸 여력이 없나보다 싶다. 근데 우린 보안업첸데?...
원래 피싱 환경 구축하기전에 하고있던 중요 프로젝트가 PoS기 및 신용카드 분석 및 침투테스트였다. PCI-DSS 보다가 체질상 안맞아서 흐지부지 하고 있었는데 오늘 에이콘에서 출판된 PoS 시스템 해킹과 방어책이 도착했다. 찬찬히 읽어보면서 다시 생각을 가다듬어야 겠다.