“위험해 보인다”가 아니라
“실제로 열렸다”
경고만 쌓이면 아무도 움직이지 않습니다. 투멘은 소유 확인과 동의가 끝난 범위 안에서 실제로 문을 두드려 보고, 열린 것만 증거와 함께 보고합니다. 되돌릴 수 없는 행동은 코드 수준에서 막혀 있습니다. 프로 플랜에서 제공합니다.
01 — 확인사살 점검 · 자세히 보기 →증거를 남겨
증거를 남겨
리포트에 붙입니다
발견한 위험 중 실제로 악용 가능한 것만 골라 재현합니다. 성공하면 요청과 응답을 남겨 실증 표시를 달고, 실패하면 조용히 내립니다. 오탐이 사라지는 지점입니다.
- 도메인 소유 확인과 동의 기록이 있어야 실행 — 없으면 시작하지 않습니다
- 만들어지는 요청은 GET·HEAD뿐 · 쓰기·삭제·계정 생성·무차별 대입은 코드에서 봉인
- 사설망과 메타데이터 주소로 향하는 요청은 차단합니다
점검 로그
▸ 대상: acme-checkout.example (소유 확인됨 · 범위 내)
✗ 익명 조회 profiles → 행 읽힘 [실증]
✗ /.env → 200 OK [실증]
✓ 관리자 우회 시도 → 차단됨 (정상)
데이터는 열람 여부만 확인하고 내려받지 않습니다.02 — 푸시할 때마다 재점검 · 자세히 보기 →한 번 받은 보고서는
한 번 받은 보고서는
받는 순간 과거입니다
모의해킹 보고서를 손에 쥐는 사이에도 배포는 계속됩니다. 투멘은 푸시가 들어오면 다시 점검하고, 지난 결과를 기준선으로 삼아 이번에 새로 생긴 것만 뽑아 올립니다.
- 룰과 위치로 지문을 만들어 같은 취약점을 두 번 세지 않습니다
- 새로 생긴 것 · 그대로인 것 · 사라진 것을 나눠 보고합니다
- 정해진 시각에 스스로 도는 예약 점검은 아직 제공하지 않습니다
이번 배포 결과
| 새로 생김 | 2건 |
| 그대로 | 5건 |
| 사라짐 | 3건 |
03 — DAST 스캔 · 자세히 보기 →돌아가는 상태 그대로
돌아가는 상태 그대로
두드려 봅니다
코드를 보지 않고, 실제 사용자처럼 요청을 보내 반응을 관찰합니다. 자체 프로브 59개가 돌고, 프로 플랜에서는 오픈소스 템플릿 엔진이 함께 붙습니다.
- 반사형 XSS는 실행 가능한 형태로 되비칠 때만 보고합니다
- 경로 조작은 실제 파일 시그니처가 확인될 때만 보고합니다
- 노출 경로는 파일 내용까지 맞을 때만 — 200만 돌려주는 화면은 걸러냅니다
DAST 결과
| 점검 항목 | 결과 |
|---|---|
| 노출 경로(.env 등) | 열림 · 치명 |
| 경로 조작 | 차단됨 |
| 반사형 XSS | 실행 가능한 형태 아님 |
| 인증 우회 시도 | 차단됨 |
04 — 공격 표면 관리 · 자세히 보기 →
잊어버린 것부터 뚫립니다
테스트하려고 띄운 서버, 데모용 서브도메인, 예전 관리자 페이지. 본인도 잊은 자산이 가장 먼저 노려집니다. 동의 범위 안에서 밖에 보이는 것을 모아 목록으로 만듭니다.
- 서브도메인 열거 → 살아 있는 주소 확인 → 열린 포트 → 엔드포인트 수집
- 범위 밖 호스트는 발견해도 점검하지 않고 걸러냅니다
- 읽기 전용 · 비침습 — 외부 도구가 없는 단계는 건너뜁니다
수집 항목
| 서브도메인 | 공개 기록에서 열거 |
| 살아 있는 주소 | HTTP 응답 · 기술 지문 |
| 열린 포트 | 외부 노출 서비스 |
| 엔드포인트 | 크롤로 수집 |
먼저 내 저장소부터
확인해 보세요
무료 플랜은 카드 등록 없이 시작합니다.