기사거리가 되기 전에, 이미 고쳐졌습니다.

운영 데이터를 복제한 스테이징, 오래된 관리자 화면, 시연용으로 띄우고 끄지 않은 서비스. 대개 자산 목록에 없고, 그래서 나머지 전부에 적용된 보호의 바깥에 놓입니다.

로그인 여부는 확인하면서 그 레코드가 본인 것인지는 확인하지 않습니다. 요청이 완벽히 정상으로 보이기 때문에, 자동화 도구가 가장 자주 놓치는 결함입니다.

출시를 막지 않으려고 넓게 준 권한을, 나중에 조이겠다는 약속과 함께 남겨 둡니다. 몇 달 뒤에도 그대로이고, 이제는 자신이 가진 줄도 몰랐던 사람에게 넘어가 있습니다.

노출된 환경 변수 속 키, 저장소 이력에 남은 계정 정보, 버전 관리에 들어간 설정 파일의 토큰. 안으로 들어가는 가장 짧은 길이자, 막기도 가장 쉬운 길입니다.

네트워크 위치나 공유 비밀만으로 서로를 인증하는 두 애플리케이션. 덜 보호된 쪽을 장악하면 더 잘 보호된 쪽까지 따라옵니다. 그것을 막아야 할 망 분리는 대개 검증된 적이 없습니다.

기록은 남았고 경보도 울렸지만, 아무도 보지 않는 대기열에 들어갔습니다. 기술적으로는 탐지, 실제로는 미탐지. 그 차이는 예고 없는 훈련에서만 드러납니다.