3단계 — 완화

3단계는 CSD 완화의 적용 전/후 증거를 생성합니다. 기준선을 설정하기 위해 완화 없이 공격을 재실행하고, 완화를 적용한 후 동일한 공격을 재실행하여 CSD가 네트워크 호출을 차단함을 증명합니다. 진행하기 전에 2단계가 완료되어야 하며 — 모든 DET 검사가 PASS 상태여야 합니다.

참고

CSD 완화는 완화된 도메인에서의 스크립트 로딩을 차단합니다. 도메인이 완화 목록에 있으면, CSD JavaScript가 <script> 태그의 소스 URL을 가로채어 스크립트 로딩을 방지함으로써 공급망 공격을 소스 단계에서 차단합니다. CSD는 fetch() 또는 XMLHttpRequest 호출을 가로채지 않습니다. 이 단계에서는 완화 전후에 동일한 공격을 실행하여 스크립트 차단의 증거를 수집합니다.

주의

라이브 테스트 참고: 완화 POST/DELETE 엔드포인트는 개발 환경에서 검증되었지만, 동작 세부 사항(응답 타이밍, 스크립트 감지 상태에 대한 영향)은 테넌트 구성에 따라 다를 수 있습니다. 예상치 못한 응답이 발생하면 표준 엔드포인트 정의를 위한 API 참조를 확인하십시오.

1단계: 활성 완화 없음 확인 (기준선)

“이전” 스냅샷을 캡처하기 전에 환경이 깨끗한지 확인합니다 — 완화가 활성화되어 있지 않아야 합니다. 이를 통해 기준선 공격이 CSD 차단 없이 실행됩니다.

완화된 도메인 수 확인

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/mitigated_domains" \
  | jq '{count: (.items | length)}'

수가 0이 아닌 경우, 이전 실행에서 완화가 남아 있는 것입니다. 진행하기 전에 각각을 삭제하십시오:

# Delete a mitigated domain (repeat for each domain name)
curl -s -X DELETE \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/mitigated_domains/<domain-name>" \
  | jq .

<domain-name>을 도메인이 완화될 때 사용된 metadata.name으로 교체하십시오 (예: cdn.jsdelivr.net, esm.sh, unpkg.com, ga.jspm.io, httpbin.org, jsonplaceholder.typicode.com). httpbin.org 정리 후 항목이 남아 있으면 www.httpbin.org 삭제도 시도하십시오 — 일부 이전 실행에서 해당 이름을 메타데이터 이름으로 사용했을 수 있습니다.

2단계 감지 결과 존재 확인

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/detected_domains" \
  | jq '{total_domains: .domain_summary.totalDomains, domains: [.domains_list[]? | {domain: .domain, category: .category}]}'

증거

검사	예상	상태
완화된 도메인 수	0 (깨끗한 기준선)	0이면 PASS, > 0이면 정리 필요
감지된 도메인 수	> 0 (2단계 감지 결과 존재)	> 0이면 PASS
데이터 유출 도메인 존재	www.httpbin.org, jsonplaceholder.typicode.com	하나 이상 나타나면 PASS

2단계: 공격 실행 — 완화 전

완화가 없는 상태에서 결합된 시뮬레이션을 재실행하여 새로운 기준선을 캡처합니다. 이것이 “이전” 스냅샷 — CSD 완화가 적용되지 않았을 때 공격이 성공한다는 증거입니다.

참고

이 단계는 브라우저 측 JavaScript 실행이 필요합니다 — curl은 CSD 감지를 트리거할 수 없습니다. 브라우저 자동화 도구(MCP Chrome DevTools, Playwright, Puppeteer)를 갖춘 AI 어시스턴트는 아래 AI 자동화 실행 순서를 사용하여 이 단계를 직접 실행합니다. 브라우저 자동화 없이 작업하는 운영자는 수동 단계를 수행합니다.

AI 자동화 실행

브라우저 자동화 도구를 갖춘 AI 어시스턴트는 2단계 initScript와 동일한 것(네이티브 fetch를 저장함)을 사용하여 프로그래밍 방식으로 공격 시뮬레이션을 실행합니다:

1. initScript로 탐색 — 먼저 about:blank로 탐색하여 깨끗한 문서 컨텍스트를 확보한 후(이전 탐색의 오래된 initScript 방지), 2단계 initScript(정확한 코드는 2단계 — AI 자동화 실행에 있음)와 함께 http://$F5XC_DOMAINNAME/#/login으로 navigate_page합니다. 이 initScript는 네이티브 setInterval, clearInterval, fetch, console.log를 저장합니다 — 완화가 활성화되지 않았으므로 여기서 네이티브 fetch 참조가 올바릅니다
2. 환영 배너 닫기 — Escape로 press_key하여 환영 배너를 닫습니다. 이후 방문 시 배너가 나타나지 않을 수 있습니다(쿠키 지속). 쿠키 동의 대화 상자는 Escape 키로 자동으로 닫힙니다
3. 완료 대기 — 모든 CDN 스크립트 로드/오류 콜백 및 fetch 프라미스 해결이 완료될 때까지 10초 대기
4. 증거 캡처 — [CSD Demo] Simulation complete 및 CDN 로드 결과를 확인하기 위해 list_console_messages 사용; HTTP 상태 코드(200/201 성공)를 확인하기 위해 script 및 fetch 유형으로 필터링된 list_network_requests 사용

주의

zone.js 비호환성 — Juice Shop은 Angular의 zone.js를 사용하여 setTimeout, setInterval, fetch, XMLHttpRequest 및 기타 브라우저 API를 패치합니다. 이로 인해 MCP evaluate_script, fill, click 도구가 Cannot read properties of undefined (reading 'call') 오류로 작동하지 않습니다. 대신 initScript와 함께 navigate_page를 사용하십시오 — initScript는 zone.js가 로드되기 전에 실행되므로 네이티브 API 참조를 저장하여 폴링 콜백에서 사용할 수 있습니다. initScript는 네이티브 HTMLInputElement.prototype.value 세터를 사용하여 양식 필드를 채워야 하며(fill 사용 불가), 감지 스크립트를 인라인으로 실행해야 합니다(setTimeout 사용 불가, 페이지 로드 후 zone.js가 가로챌 수 있음). 자세한 내용은 트리거 감지 — AI 자동화 실행을 참조하십시오.

참고

initScript 누적 — initScript 매개변수와 함께 navigate_page를 호출할 때마다 해당 스크립트가 모든 이후 문서 로드에서 실행되는 영구 목록에 추가됩니다. 오래된 스크립트의 간섭을 방지하려면 실행 사이에 about:blank로 탐색하거나 깨끗한 브라우저 컨텍스트를 위해 isolatedContext와 함께 new_page를 사용하십시오.

수동 실행

브라우저 자동화 도구 없이 작업하는 운영자는 2단계 — 8단계: 공격 시뮬레이션과 동일한 절차를 사용하여 시뮬레이션을 수동으로 실행합니다:

1. http://xF5XC_DOMAINNAMEx/#/login으로 탐색
2. 이메일 및 비밀번호 필드에 더미 자격 증명 입력 (제출하지 않음)
3. DevTools 열기 — F12를 누르고 Console 탭으로 전환
4. 트리거 감지에서 결합된 감지 스크립트를 붙여넣고 실행
5. 콘솔 출력 확인 — 모든 CDN 스크립트가 로드되고 데이터 유출 호출이 200/201 응답으로 성공해야 함

증거 — 완화 전

검사	예상 (완화 전)	상태
CDN 스크립트 삽입	4개 스크립트 태그 모두 로드됨 — [Supply Chain] Loaded from 메시지 표시, 네트워크 탭에 200 표시	PASS
www.httpbin.org로 데이터 유출 fetch	네트워크 탭에 200 표시 — 데이터 전송됨	PASS
jsonplaceholder.typicode.com으로 데이터 유출 fetch	네트워크 탭에 201 표시 — 데이터 전송됨	PASS
콘솔 출력	[CSD Demo] Simulation complete	PASS

참고

네트워크 요청으로 검증: 가장 신뢰할 수 있는 증거는 콘솔 콜백이 아닌 네트워크 탭(AI 어시스턴트의 경우 list_network_requests)입니다. Juice Shop의 zone.js는 프라미스 .then() 콜백과 스크립트 onload 핸들러를 손상시킬 수 있어, 네트워크 요청이 성공하더라도 콘솔 메시지가 불완전할 수 있습니다. 콘솔 출력과 네트워크 요청 상태 코드를 항상 교차 확인하십시오.

팁

이것이 기준선 증거입니다: 완화가 없는 상태에서 공격자의 스크립트가 자유롭게 로드되고 데이터 유출이 성공합니다. 이 증거를 저장하거나 스크린샷을 찍으십시오 — 5단계의 “이후” 결과와 직접 비교하게 됩니다.

3단계: 완화 적용

감지된 각 도메인에 대해 완화된 도메인 엔드포인트에 POST합니다. 2단계 시뮬레이션의 주요 대상은 4개의 CDN 삽입 도메인과 감지된 데이터 유출 도메인입니다.

주요 완화 대상 (결합된 시뮬레이션 스크립트에서):

도메인	역할
cdn.jsdelivr.net	CDN 스크립트 삽입
esm.sh	CDN 스크립트 삽입
unpkg.com	CDN 스크립트 삽입
ga.jspm.io	CDN 스크립트 삽입
www.httpbin.org	데이터 유출 엔드포인트
jsonplaceholder.typicode.com	데이터 유출 엔드포인트

참고

POST 본문에는 두 가지 모두 필요합니다 — metadata.name(객체의 식별자)과 spec.mitigated_domain(CSD가 분류할 도메인 문자열). 두 필드 모두 설정해야 합니다 — spec: {}는 400 오류를 발생시킵니다. 대부분의 도메인에서 두 필드는 동일한 값을 사용합니다(예: cdn.jsdelivr.net). 아래의 httpbin.org 예외를 참조하십시오.

도메인 완화 (도메인당 한 번 실행):

curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d '{
    "metadata": {
      "name": "cdn.jsdelivr.net",
      "namespace": "xF5XC_NAMESPACEx"
    },
    "spec": {
      "mitigated_domain": "cdn.jsdelivr.net"
    }
  }' \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/mitigated_domains" \
  | jq .

각 도메인에 대해 반복합니다:

esm.sh

curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d '{"metadata":{"name":"esm.sh","namespace":"xF5XC_NAMESPACEx"},"spec":{"mitigated_domain":"esm.sh"}}' \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/mitigated_domains" \
  | jq .

# unpkg.com
curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d '{"metadata":{"name":"unpkg.com","namespace":"xF5XC_NAMESPACEx"},"spec":{"mitigated_domain":"unpkg.com"}}' \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/mitigated_domains" \
  | jq .

# ga.jspm.io
curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d '{"metadata":{"name":"ga.jspm.io","namespace":"xF5XC_NAMESPACEx"},"spec":{"mitigated_domain":"ga.jspm.io"}}' \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/mitigated_domains" \
  | jq .

# httpbin.org — use www.httpbin.org as mitigated_domain (see note below)
curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d '{"metadata":{"name":"httpbin.org","namespace":"xF5XC_NAMESPACEx"},"spec":{"mitigated_domain":"www.httpbin.org"}}' \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/mitigated_domains" \
  | jq .

# jsonplaceholder.typicode.com
curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d '{"metadata":{"name":"jsonplaceholder.typicode.com","namespace":"xF5XC_NAMESPACEx"},"spec":{"mitigated_domain":"jsonplaceholder.typicode.com"}}' \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/mitigated_domains" \
  | jq .

참고

httpbin.org eTLD+1 제약: API는 "Invalid root domain: cannot derive eTLD+1" 오류로 베어 eTLD+1 도메인을 mitigated_domain 값으로 거부합니다. metadata.name으로 httpbin.org를 유지하면서 spec.mitigated_domain 값으로 www.httpbin.org를 사용하십시오. 완화는 올바르게 적용됩니다 — 완화된 도메인 목록에 표시되는 것은 name 식별자입니다. 사용자 정의 시뮬레이션 스크립트에서 데이터 유출 대상으로 사용된 베어 도메인(서브도메인 없음)도 동일한 제약이 적용됩니다.

200 응답은 생성된 완화된 도메인 객체를 반환합니다. 409 응답은 도메인이 이미 완화 목록에 있음을 의미합니다 — 이는 성공 조건입니다.

4단계: 완화 적용 확인

모든 완화된 도메인을 나열하고 수가 방금 제출한 도메인 수와 일치하는지 확인합니다:

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/mitigated_domains" \
  | jq '{count: (.items | length)}'

참고

완화된 도메인 목록 엔드포인트는 모든 항목에 대해 null metadata.name을 가진 항목을 반환합니다 — 개별 도메인 이름은 목록 응답에서 표시되지 않습니다. 항목 수가 POST 요청 수(표준 시뮬레이션의 경우 6개)와 같은지 확인하십시오. 3단계의 각 개별 POST에 대한 200 응답이 각 완화가 생성되었다는 권위 있는 증거입니다. null 이름 항목이 1개이고 완화가 적용되지 않은 경우 수를 0으로 처리하십시오 — 이는 백엔드 아티팩트입니다(사전 점검에서 결정 규칙 참조).

증거

검사	예상	상태
완화된 도메인 수	6 (POST 수와 일치)	수가 일치하면 PASS
3단계의 모든 POST가 200 또는 409 반환	각 도메인 수락됨	PASS

예상보다 수가 낮으면 3단계에서 누락된 도메인에 대해 POST 명령을 다시 실행하십시오.

5단계: 공격 실행 — 완화 후

“이후” 스냅샷을 캡처하기 위해 완전히 동일한 결합된 시뮬레이션을 재실행합니다. 시뮬레이션 스크립트는 동일합니다 — CSD의 완화 상태만 변경되었습니다. 완화된 도메인에서의 스크립트 로드는 이제 CSD JavaScript에 의해 차단됩니다(<script> 태그 src가 빈 문자열로 지워짐).

참고

이 단계는 2단계와 동일한 브라우저 자동화 순서를 사용합니다. 차이는 실행하는 것이 아니라 관찰하는 것에 있습니다. 완화가 활성화된 상태에서 CSD는 완화된 도메인에서의 <script> 태그 로드를 차단합니다. 완화된 데이터 유출 도메인에 대한 Fetch API 호출은 여전히 완료됩니다 — CSD 완화는 스크립트 로딩을 대상으로 하며 fetch/XHR은 대상이 아닙니다.

AI 자동화 실행

브라우저 자동화 도구를 갖춘 AI 어시스턴트는 동일한 2단계 initScript(정확한 코드는 2단계 — AI 자동화 실행에 있음)를 사용하여 프로그래밍 방식으로 공격 시뮬레이션을 재실행합니다. initScript는 zone.js 오류를 방지하기 위해 네이티브 fetch를 저장합니다 — CSD가 fetch() 호출을 가로채지 않으므로 CSD 완화에는 영향을 미치지 않습니다.

1. initScript로 탐색 — 깨끗한 브라우저 컨텍스트를 위해 isolatedContext와 함께 new_page 사용(2단계의 오래된 initScript 방지), 그런 다음 about:blank로 탐색한 후 2단계 initScript와 함께 로그인 페이지로 탐색
2. 환영 배너 닫기 — Escape로 press_key
3. 완료 대기 — 모든 비동기 콜백이 완료될 때까지 10초 대기
4. 증거 캡처 — [CSD Demo] Simulation complete를 확인하기 위해 list_console_messages 사용; CDN 스크립트 로드가 없는지(CSD가 스크립트 src를 지움) 확인하고 데이터 유출 도메인에 대한 fetch 호출이 정상적으로 완료되는지 확인하기 위해 script 및 fetch 유형으로 필터링된 list_network_requests 사용

수동 실행

브라우저 자동화 도구 없이 작업하는 운영자는 2단계 — 8단계: 공격 시뮬레이션과 동일한 절차를 사용하여 시뮬레이션을 수동으로 재실행합니다:

1. http://xF5XC_DOMAINNAMEx/#/login으로 탐색
2. 이메일 및 비밀번호 필드에 더미 자격 증명 입력 (제출하지 않음)
3. DevTools 열기 — F12를 누르고 Console 탭으로 전환
4. 트리거 감지에서 결합된 감지 스크립트를 붙여넣고 실행
5. 콘솔 및 네트워크 출력 확인 — 완화된 도메인에 대해 CDN 스크립트 onload 및 onerror 콜백이 실행되지 않음(CSD가 스크립트 src를 빈 문자열로 지워 네트워크 요청 자체를 방지). 데이터 유출 도메인(www.httpbin.org, jsonplaceholder.typicode.com)에 대한 Fetch 호출은 200/201로 여전히 완료됩니다 — CSD 완화는 스크립트 로딩을 차단하며 fetch/XHR 호출은 차단하지 않습니다

완화 전파 타이밍

CSD JavaScript는 <script> 태그 src 세터를 가로채어 완화된 도메인에서의 스크립트 로딩을 차단할 것으로 예상됩니다. 그러나 HTTP(포트 80)를 통한 테스트에서 완화 적용 후 5분 이내에 스크립트 src 지우기가 관찰되지 않았습니다 — 모든 CDN 스크립트가 계속 정상적으로 로드되었습니다. 이는 완화 전파에 5분 이상이 필요하거나, HTTP와 HTTPS에서 메커니즘이 다르게 동작함을 나타낼 수 있습니다. 완화 차단이 관찰되지 않으면 추가 전파 시간을 허용하고 CSD 원격 측정 스크립트가 구성을 새로 고쳤는지 확인하십시오.

Fetch 호출은 CSD 완화에 의해 가로채이지 않습니다 (검증됨). 완화된 도메인(www.httpbin.org, jsonplaceholder.typicode.com)에 대한 데이터 유출 fetch 호출은 완화 전후 모두 200/201 응답으로 정상적으로 완료됩니다. CSD 완화는 공급망 벡터(악성 스크립트 로딩)를 대상으로 하며, fetch/XHR을 통한 데이터 유출은 대상이 아닙니다. 2단계와 5단계 모두에 동일한 2단계 initScript(네이티브 fetch 저장)를 사용하십시오.

증거 — 완화 후

검사	예상 (완화 후)	상태
CDN 스크립트 로드	차단됨 — 스크립트가 네트워크 탭에 나타나지 않음(CSD가 src를 빈 문자열로 지움)	PASS
CDN 스크립트 콜백	완화된 도메인에 대해 onload도 onerror도 실행되지 않음	PASS
www.httpbin.org로 데이터 유출 fetch	200 — fetch 여전히 완료됨(CSD는 fetch를 가로채지 않음)	INFO
jsonplaceholder.typicode.com으로 데이터 유출 fetch	201 — fetch 여전히 완료됨(CSD는 fetch를 가로채지 않음)	INFO
콘솔 출력	[CSD Demo] Simulation complete	PASS

팁

백엔드 검증이 가장 신뢰할 수 있는 증거입니다. 데모 시간 내에 브라우저에서 스크립트 차단이 관찰되지 않으면 /detected_domains API 응답을 주요 증거로 사용하십시오. 도메인 요약의 mitigatedDomains 수와 감소된 actionNeededCount는 CSD JavaScript가 브라우저에서 아직 구성을 새로 고치지 않았더라도 백엔드에서 완화가 활성화되어 있음을 확인해 줍니다.

6단계: 완화 전후 비교

이것이 데모의 핵심입니다 — 동일한 페이지에서 동일한 스크립트로 동일한 공격이 이제 완전히 다른 결과를 생성함을 증명하는 나란히 놓인 증거입니다.

비교 표

신호	완화 전 (2단계)	완화 후 (5단계)
CDN 스크립트 로드	200 — 4개 CDN 스크립트 모두 정상 로드	차단됨 — 스크립트가 네트워크 탭에 없음(CSD가 src를 빈 문자열로 지움)
CDN onload 콜백	[Supply Chain] Loaded from 메시지 표시	콜백 실행 없음(네트워크 요청이 없었음)
www.httpbin.org로 데이터 유출	200 — 데이터 유출됨	200 — fetch 여전히 완료됨(CSD는 fetch를 가로채지 않음)
jsonplaceholder.typicode.com으로 데이터 유출	201 — 데이터 유출됨	201 — fetch 여전히 완료됨(CSD는 fetch를 가로채지 않음)
CSD 완화된 도메인 API	0개 완화됨	6개 완화됨

백엔드 데이터에서 완화 확인

최대 10회 반복(10분) 동안 60초마다 /detected_domains를 쿼리합니다. 쿼리가 반환되면 또는 10분 최대 시간이 지나면 비교 표로 진행합니다 — 이 검사는 정보 제공용이며 4단계를 차단하지 않습니다.

완화 후 감지된 도메인 확인:

curl -s \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/detected_domains" \
  | jq '{total_domains: .domain_summary.totalDomains, domains: [.domains_list[]? | {domain: .domain, category: .category}]}'

완화 상태에 대한 스크립트 확인:

NOW=$(date +%s)
START=$(( NOW - 86400 ))
curl -s -X POST \
  -H "Authorization: APIToken xF5XC_API_TOKENx" \
  -H "Content-Type: application/json" \
  -d "{\"startTime\": \"$START\", \"endTime\": \"$NOW\"}" \
  "xF5XC_API_URLx/api/shape/csd/namespaces/xF5XC_NAMESPACEx/scripts" \
  | jq '{total: (.scripts | length), scripts: [.scripts[]? | {script_name: .script_name, risk_level: .risk_level}]}'

3단계 증거 요약

검사	예상	상태
기준선 깨끗함 (1단계)	시작 시 완화된 도메인 0개	PASS / FAIL
이전 — 공격 성공 (2단계)	스크립트 로드, 데이터 유출이 200/201 반환	PASS / FAIL
완화 적용됨 (3단계)	모든 6개 도메인이 POST를 통해 수락됨 (200 또는 409)	PASS / FAIL
완화 수 확인됨 (4단계)	목록에 6개 항목	PASS / FAIL
이후 — 스크립트 로드 차단됨 (5단계)	CDN 스크립트가 네트워크 탭에 없음, fetch 호출은 여전히 완료됨	PASS / FAIL
완화 전후 비교 (6단계)	2단계와 5단계 증거 사이의 명확한 차이	PASS / FAIL

참고

완화 후 감지 상태 업데이트는 API 응답에 나타나는 데 시간이 걸릴 수 있습니다. 완화 직후에도 도메인이 여전히 “조치 필요”로 표시되면 최대 10회 반복(10분) 동안 60초마다 /detected_domains를 쿼리하십시오. 10회 반복 후에도 업데이트되지 않으면 현재 상태를 INFO로 기록하십시오 — 이는 4단계를 차단하지 않습니다.

---

3단계 완료. 모든 배포 객체를 제거할 준비가 되면 4단계 — 정리로 진행하십시오.