퍼징(fuzzing)을 이용하여 보안 취약점을 점검해본 적이 있나요?

3주 전에 퍼징(Fuzzing)에 대하여 다음과 같은 설문을 한 적이 있습니다.

국내 개발자분들께 여쭙니다. 프로그램(application, driver 등 무엇이든…)을 개발하면서 퍼징(fuzzing)을 이용하여 보안 취약점을 점검해본 적이 있으신가요?

이 설문에 트위터와 버그트럭, 보안인, all of software 메일링리스트에서 총 82분이 응답해주셨습니다.

82명 중에서 퍼징을 알고 이용해봤다고 응답한 분이 17명으로 21%에 해당하였습니다. 이에 반해, 퍼징을 알지 못한다고 응답한 분이 47명으로 57%였네요. 다만, 개발 일선에서는 퍼징이라는 용어보다는 블랙박스 테스팅(Blackbox Testing)이라는 용어로 쓰인다고 합니다. 아마 57명 중에서도 블랙박스 테스팅으로 알고 계신분도 계실거라 생각되구요.

그럼에도 퍼징을 써본 적이 없다고 응답한 79%라는 비율은 꽤 큽니다. 즉, 아직은 퍼징(혹은 블랙박스 테스팅)을 이용하여 보안 취약점을 점검을 하는 게 보편적이지 않다는 의미이기도 하죠.

퍼징에 대한 자료들은 다음을 참고하세요.

참고문헌

Fuzz testing (Wikipedia) :: http://en.wikipedia.org/wiki/Fuzz_testing
Fuzzing (OWASP) :: http://www.owasp.org/index.php/Fuzzing
Fuzzing: Brute Force Vulnerability Discovery :: http://fuzzing.org/