보안 점검과 업데이트 방식 알아보기

SetFN 스페이스빌더는 고객이 직접 설치해 사내 문서 관리와 웹사이트 운영(CMS)에 사용하는 서버 제품입니다. 서버 하나에 여러 사용자의 파일과 계정이 모이기 때문에, SetFN은 업데이트를 내보내기 전에 보안 점검을 하고 그 결과를 이 섹션에 날짜와 함께 기록합니다.

이 문서에서는 SetFN이 하는 점검의 종류, 참고하는 보안 기준, 점검 기록을 확인하는 방법을 안내합니다.

출시 전 점검

업데이트를 배포하기 전에 다음 점검을 합니다.

점검	내용
자동 테스트	서버 기능 테스트와 실제 브라우저로 로그인·업로드·공유·권한 시나리오를 확인하는 화면 테스트를 실행합니다.
격리된 시험 서버 검증	운영 데이터와 분리된 시험 서버를 따로 실행하고 계정을 만들어, 실제 요청으로 권한·공유·인증 경계와 과부하 상황을 확인합니다.
의존성 취약점 검사	서버가 쓰는 Go 라이브러리는 Go 공식 취약점 데이터베이스로, 웹 화면 라이브러리는 npm 보안 권고로 검사합니다. 실제로 호출되는 취약점은 수정 버전으로 올립니다.
AI 보조 코드 검토	Anthropic Claude와 OpenAI Codex로 변경된 코드와 기존 코드를 검토합니다. AI가 찾은 문제는 코드와 실행 결과로 다시 확인한 것만 수정합니다. 한 AI가 고친 내용은 배포 전에 다른 AI(Codex)가 읽기 전용으로 교차 검토합니다.
외부 보안 공지 대조	KISA 보호나라 보안 공지와 각 구성 요소의 보안 권고를 확인해 SetFN에 해당하는지 판단합니다.

정기 점검과 문서 갱신

출시 전 점검과 별도로 AI(Claude, Codex)와 함께 전체 코드를 정기적으로 다시 점검합니다. 새로운 공격 유형이나 보안 공지가 나오면 SetFN에 해당하는지 확인합니다.

점검을 할 때마다 다음 문서를 갱신합니다.

보안 점검 기록: 점검 날짜, 범위, 찾은 문제와 조치 상태를 최신순으로 기록합니다.
주요 취약점 점검 현황: 2025년 이후 공개된 주요 취약점(CVE)과 KISA 보안 공지가 SetFN에 해당하는지, 점검과 조치를 마쳤는지 표로 정리합니다.

Docs 첫 화면의 최근 보안 점검에는 가장 최근 점검 날짜와 요약이 표시됩니다.

참고하는 보안 기준

점검 항목은 다음 기준을 참고해 정합니다.

기준	발행 기관	참고하는 내용
OWASP Top 10:2025	OWASP	웹 애플리케이션의 주요 위험 10가지(접근 통제, 설정 오류, 공급망, 예외 상황 처리 등)
OWASP ASVS 5.0	OWASP	인증, 세션, 권한, 파일 처리, 설정, 로그와 오류 처리 검증 요구 사항
CWE Top 25 (2025)	MITRE·CISA	실제 취약점에서 자주 나온 약점 유형(제한 없는 자원 할당 포함)
NIST SP 800-63B-4	미국 국립표준기술연구소	비밀번호와 인증 수단 관리 기준
주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드	한국인터넷진흥원(KISA)	웹 취약점 점검 항목

보안 문제 알리기

SetFN에서 보안 문제로 보이는 동작을 발견하면 문의하기로 알려 주세요. 재현 방법과 사용 중인 SetFN 버전을 함께 적어 주시면 확인이 빨라집니다. 확인이 끝나기 전에는 공개된 곳에 재현 방법을 올리지 말아 주세요.

알아두기