학습포털·관리시스템 모의해킹 용역
과 업 지 시 서
2026. 10.
문의처
한국과학기술정보연구원
과학데이터교육센터
전화 : 042-869-0694
이메일 : kimby@kisti.re.kr
목차(CONTENTS)
제1장 과업 개요
1. 과업개요
2. 과업의 배경 및 목적
3. 기대효과
제2장 과업 수행 내용
1. 모의해킹 대상
2. 세부 과업 내용
3. 과업 수행 방식 및 환경
4. 과업 관리사항
5. 최종보고서 작성 및 제출
제3장 과업 수행지침 및 계약조건
1. 과업수행 기본사항
2. 과업수행 유의사항
3. 계약해지 및 지체에 관한 사항
4. 보안 사항
5. 작업 장소
6. 기타 사항
1
과업 개요
1. 과업 개요
용 역 명 : 학습포털·관리시스템 모의해킹 용역
과업기간 : 착수일로부터 3주
기초금액 : 금6,600,000원(부가가치세 포함)
과업내용
- 학습포털·관리시스템(URL 2개) 대상 모의해킹 및 개선대책 수립
- 최근 해킹 동향과 공격 사례를 반영한 시나리오 기반 모의해킹
- 조치 이행점검 1회
*
*조치 이행점검은 과업 기간 내로 하며, 일정은 발주부서와 협의함
2. 과업의 배경 및 목적
우리 원에서 운영 중인 학습포털과 관리시스템을 대상으로 실제 공격자 관점의 모의해킹을 수행하여 보안 취약점을 식별하고 개선방안을 마련한다.
「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」의 Web Application 분야 점검항목과 OWASP Top 10을 점검 기준으로 준용하여 모의해킹 결과의 객관성을 확보한다.
모의해킹 결과에 대한 조치 이행점검을 실시하여 취약점 조치가 실제로 완료되었는지 확인한다.
3. 기대효과
국가정보원, KISA 등 국가공공기관의 보안 가이드라인 준수를 통해
체계적인 정보보안 관리체계 수립
학습포털·관리시스템의 보안 취약점 개선을 통한 이용자 개인정보 보호 및 안정적인 서비스 운영
2
과업 수행 내용
1. 모의해킹 대상
모의해킹 대상 서비스
구 분
서비스명 / URL
주요 기능
화면 수(예상)
접속 방식
대외
학습포털
https://test.miliai.kr
회원·강의 수강
프로젝트 학습·커뮤니티
약 61
원격
대내
관리시스템
https://hq.miliai.kr
회원·콘텐츠 관리
과정·시스템 관리
약 36
원격
(IP 등록)
※ 화면 수는 사전조사서에 기재된 URL 경로 기준이며, 서비스별 상세 URL 목록은 착수 시 발주부서와 최종 확정한다.
2. 세부 과업내용
모의해킹 수행
- 정보 수집 및 공격 표면 분석
⦁서비스 구조, 메뉴·기능, 입력값 처리 지점과 외부 노출 정보 식별
⦁회원·관리자 권한 체계와 주요 업무 흐름(회원가입, 수강, 게시판, 관리 기능) 분석
- 웹 애플리케이션 모의해킹
⦁상세가이드 Web Application 분야 점검항목 및 OWASP Top 10 기반 점검
⦁인증·세션 관리: 로그인, 2차 인증(OTP), 아이디·비밀번호 찾기, 비밀번호 변경, 회원 탈퇴
⦁권한 관리: 타 사용자 정보 접근(수평 권한 상승), 관리 기능 우회 접근(수직 권한 상승)
⦁입력값 검증: SQL 인젝션, 크로스사이트 스크립팅(XSS) 등 삽입 공격
⦁파일 처리: 첨부파일·에디터 이미지·산출물 업로드 및 다운로드 경로 조작
⦁코드 실행 기능: 코딩 실습·코딩 연습장의 실행 환경 격리 및 서버 명령 실행 가능 여부
⦁AI 기능: AI 튜터·자동 평가 기능에 대한 프롬프트 조작 및 정보 노출 여부
- 시나리오 기반 모의해킹
⦁일반 사용자 계정으로 타 사용자 개인정보 또는 관리시스템 기능에 접근하는 시나리오
⦁관리자 인증(2차 인증, 접속 IP 제한)과 개인정보 조회·다운로드 기능의 통제를 우회하는 시나리오
- 취약점 평가 및 개선방안 제시
⦁취약점별 위험도(상·중·하) 산정 및 재현 절차와 증적 제시
⦁서비스 운영환경에 맞는 조치방법과 소스코드·설정 예시 제공
⦁조치 불가 항목은 판정 사유와 잔여 위험을 명시하고 위험 수용 여부를 발주부서와 협의
⦁긴급 조치가 필요한 취약점은 발견 즉시 발주부서에 통보
조치 이행점검
- 도출된 취약점에 대하여 수립한 조치계획에 따른 조치 결과 확인 점검(1회)
- 긴급 조치가 필요한 항목(Hot-Fix 대상)에 대한 우선 조치 및 결과 확인
- 이행점검 결과에 따른 잔여 취약점 목록과 후속 조치방안 제시
3. 과업 수행 방식 및 환경
수행 방식
- 본 과업은 원격 방식으로 수행한다.
- 발주부서는 관리시스템 점검을 위해 계약상대자의 점검 IP를 착수 전까지 접속 허용 IP로 등록한다.
- 계약상대자는 사전에 등록한 IP와 단말만을 사용하며, 지정되지 않은 경로로 접속하지 아니한다.
- 모의해킹은 발주부서가 제공한 시험 계정을 활용하는 방식(그레이박스)을 기본으로 하며, 계약상대자는 합의된 대상 범위를 벗어난 시스템에 접근하지 아니한다.
점검 계정 및 권한
- 발주부서는 점검에 필요한 계정을 착수 전까지 발급한다.
- 학습포털은 권한 상승 점검을 위해 일반 사용자 시험 계정 2개 이상을, 관리시스템은 권한 등급별 시험 관리자 계정과 2차 인증(OTP) 수단을 제공한다.
- 시험 계정은 과업 종료 후 발주부서가 회수하거나 삭제한다.
운영 영향 최소화
- 점검 가능 시간대와 점검 불가 기간(교육 운영 일정, 시스템 작업 일정 등)은 착수 시 협의하여 확정한다.
- 자동화 도구를 이용한 점검과 서비스 영향이 우려되는 공격 기법(대량 요청, 데이터 변경·삭제 등)은 사전에 발주부서의 승인을 받아 수행한다.
- 점검 중 등록한 게시글, 업로드 파일 등 시험 데이터는 점검 종료 후 삭제하고, 삭제가 어려운 항목은 목록으로 정리하여 발주부서에 제공한다.
-
점검 중 장애 징후가 확인되면 즉시 점검을 중단하고 발주부서에 통보한다.
- 발주부서가 사전에 승인한 점검 방법, 도구 및 시간대에 따라 수행한
점검에서 발생한 성능 저하 또는 장애에 대하여, 계약상대자에게 고의
또는 중대한 과실이 없는 경우 계약상대자는 책임을 부담하지 아니한다.
4. 과업 관리사항
수시 점검회의 운영
- 모의해킹 수행 방식 및 일정 협의
- 모의해킹 진행 현황 및 중간 발견사항 공유
- 조치 우선순위 및 이행점검 일정은 발주부서와 협의하며 과업 기간 내로 함
5. 최종보고서(완료보고서) 작성 및 제출
본 과업의 각 단계별 산출물을 모두 포함하여 최종보고서 작성
최종보고서의 원본파일은 저장매체(USB메모리, 수량:2개)에 저장하여 제출
연번
성과품
형식
제출 시점
1
과업수행계획서
한글 파일
착수일로부터 3일 이내
2
모의해킹 결과 보고서
한글, 엑셀 파일
완료 보고 시
3
이행점검 결과 보고서
한글, 엑셀 파일
이행점검 완료 시
3
과업 수행지침 및 계약조건
1. 과업수행 기본사항
사업 수행자는 본 과업지시서에 따라 사업의 목적, 취지, 성격 등을 충분히
이해하고, 발주처가 의도하는 목적 및 방향에 맞게 과업을 성실히 수행하여야 한다.
사업 수행자는 착수일로부터 3일 이내 아래 내용이 포함된 과업수행 계획서를 발주처에 제출하여야 한다.
-
착수보고서, 참여인원 현황 및 조직편성표, 과업 세부수행계획서, 보안대책
- 각종 서약서 및 기타 과업수행에 필요한 사항 등
본 용역에 참여하는 인력은 과업과 관련된 전문가 중심으로 구성하고, 발주처는 본 과업수행에 부적격하다고 판단되는 용역수행자의 교체를 요구할 수 있다.
사업 수행자는 필요에 의해 용역에 참여하는 인력을 교체할 경우 사전에
발주처의 승인을 얻어야 한다.
본 과업수행 관련 경비는 예산 범위 내에서 사용하여야 하며, 만일 예산을
초과하여 사용한 부분에 대하여는 사업 수행자가 부담하여야 한다.
사업 수행자는 본 과업지시서에 명시되지 않은 사항이라도 과업의 충실한
수행, 목적 달성을 위해 추가·보완이 필요한 사항이 있을 시에는 이를 이행하여야 한다.
2. 과업수행 유의사항
과업 수행과 관련한 세부결과는 비공개를 원칙으로 한다.
과업수행 과정에서 발주처의 승인을 받아야 하는 사항이 있을 경우 문서
또는 서면으로 사전에 통보한다.
본 과업지시서에 명시되지 않은 사항, 발주처의 정책 또는 방침변경 등에
따른 과업내용의 변경, 과업의 중지, 과업내용서의 해석에 이견이 있는 사항 등에 대해서는 발주처와 용역수행자가 상호 협의하여 결정한다.
3. 계약해지 및 지체에 관한 사항
❍ 다음과 같은 경우 특별한 사유가 없는 한 발주처는 과업을 중단 또는 계약을 해지할 수 있다.
❍ 계약상대자가 ｢용역계약일반조건｣(기획재정부 계약예규)에서 정한 계약상대자의 책임 있는 사유로 인한 계약의 해제 또는 해지 사유에 해당될 경우
❍
계약 공정에 비하여 현저하게 공정이 미달되거나 계약기간 내에 완료할
능력이 없다고 판단되는 경우
❍ 과업수행 중 성실치 못하거나 과업보고 등 제반 지시사항을 기간 내에 이행하지 않는 등 소기의 성과를 얻을 수 없다고 판단되는 경우
❍ 과업의 중간결과가 과업지시서에 비해 현저히 차이나거나 품질이 떨어지는 경우
❍ 기타 정당한 요구사항을 이행하지 아니하는 경우
❍ ｢국가를 당사자로 하는 계약에 관한 법률 시행규칙｣ 제75조에 따라 지체상금은 지체일수마다 계약금액(기성고 인정금액 제외)의 1,000분의 1.25임
4. 보안 사항
❍ 본 계약과 관련하여 취득한 사항을 제3자에게 누설하여서는 안 되며, 발주처가 요구하는 보안사항을 철저히 준수하여야 한다.
❍ 사업 수행자 및 참여인력은 보안서약서를 제출하여야 한다.
❍ 모의해킹 과정에서 취득한 계정, 개인정보, 시스템 정보는 과업 목적 외로 사용하지 아니하며, 과업 종료 시 파기하고 파기 확인서를 제출하여야 한다.
❍
보안사항 불이행으로 발생하는 보안 사고에 대한 모든 민·형사상의 책임은
수급인이 진다.
❍ 과업과 관련한 모든 자료 및 성과품은 발주처의 승인
5. 작업 장소
❍ 본 사업의 작업(수행)장소는 발주기관과 협의하여 결정함
❍
계약상대자는 과업지시서 내 명시된 보안요구사항을 준수한 작업장소를
제시할 수 있음. 다만, 발주기관에서는 계약상대자가 제시한 작업장소가
보안요구사항을 준수하지 못한 경우 거부할 수 있음
❍ 계약상대자는 외부 작업장소에 따른 보안사고 등 위험요인을 식별하여 이에 대한 대응 방안을 제안하여야 함
❍ 작업(수행)장소 관련 비용은 전체 사업예산에 계상되어 있으므로 용역수행업체가 부담하여야 함
6. 기타사항
❍ 본 용역은 계약상대자가 직접 수행하여야 함(하도급 불허)
❍ 본 과업지시서에 명시되지 아니한 사항에 대해서는 우리 원 계약 관련 규정 및 일반적인 상관례를 따름
