SWFScan 장단점

장점
----
1. 비용 효과적
  - Flash, Flex 사이트에 대한 자동화된 디컴파일, 보안 점검을 수행해준다는 면에서 비용 효과적인 편리한 도구이다.

2. Export 기능 지원
  - Source 코드, URL export 기능이 지원된다.

단점
----
1. 불편한 UI
  - UI 내에서 할 수 있는 작업이 없다. 마우스 오른쪽 버튼을 눌러서 뭔가 한다던가, 어떤 정보를 추려내서 추가적인 분석을 한다거나... 뭔가 제대로된 작업을 하려고 눌러보면, 지원되는 기능이 없다는 것에 놀라게 된다. 즉, UI가 오로지 데이터를 View 하기 위한 최소한의 기능만 가진 Viewer 이다.

2. 리포트 기능 미흡
  - 리포트의 내용이 모호하고, 부정확한 내용도 꽤 있다. 참고 자료로 걸어놓은 link에서 해당 취약점이나 대책에 대한 내용을 전혀 다루고 있지 않은 경우도 있다.
  - HTML 리포트만 지원한다. 이 HTML 리포트의 마크업 구조는 최악이어서 편집조차 어렵게 한다. 고객에게 오탐을 제거한 리포트 제공하기가 결코 쉽지 않다. XML 출력 지원해주면 좋을텐데...

3. 한글 미지원
  - 한글 UI, 한글 Report 가 제공되면 편리할텐데...

4. 대책 미흡
  - 대책에 대한 기술이 실무에 거의 도움이 안된다. MSDN처럼 보다 명료한 대책을 제공했으면 좋겠다.

5. 세션 저장 미지원
  - 작업 세션을 저장할 수 없기 때문에, 매번 새로 디컴파일, 취약점 분석을 수행해야 한다.

결론
----
기능적으로 미흡한 부분이 매우 많지만, 실무에 사용할 때 많은 도움이 되는 툴임에는 분명하다.

참고
----
이 툴 역시 다른 보안툴과 마찬가지로 오탐(False Positive, False Negative)이 있지만, 개인적으로 보안툴의 오탐은 단점이 아니라고 보기 때문에 단점에 기술하지 않았다.

사람은 쉽게 판단 내릴 수 있는 경우라 하더라도, 툴 입장에선 판단할 수 없는 경우가 비일비재하기 때문(예: 소코반, 지뢰찾기)에, 필연적으로 오탐이 발생할 수 밖에 없다.

이런 오탐을 제거하기 위해 전문가가 있는 것이다. 기술 발전으로 인해 아무리 자동화가 진전된다하더라도, 결국엔 사람이 개입하여 해결해줘야 하는 경우가 없을 수 없다.

이글루스 가든 - professional secur...