웹 취약점과 보안 위협

핵심 정리

웹 취약점은 웹 애플리케이션의 설계나 구현상의 결함을 이용해 권한 없는 자가 시스템에 접근하거나 데이터를 유출·변조·파괴하게 만드는 약점이다. 웹 해킹은 웹 사이트의 취약점을 공격해 웹 페이지를 통해 권한이 없는 시스템에 접근하거나 데이터 유출과 파괴를 일으키는 기술적 위협이다. 유형으로는 웹 엔진 취약점을 이용한 해킹, 웹 애플리케이션의 취약점을 이용한 해킹, 각종 웹 서버와 미들웨어의 기본 제공 샘플 파일을 이용한 해킹이 있으며, 그중 웹 애플리케이션을 통한 해킹이 주로 일어난다. OWASP는 웹 애플리케이션 보안 취약점을 연구하고 OWASP TOP 10을 발표하는 오픈 프로젝트다.

OWASP 목록의 대표 항목은 접근 통제, 인증과 세션 관리, 중요 데이터 보호, 취약한 구성요소의 사용이다. 접근 통제 실패로 생기는 취약점은 Broken Access Control 이다. 인증과 세션 관리를 잘못 구현하면 Broken Authentication 이 생긴다. 중요 데이터를 제대로 보호하지 않으면 Sensitive Data Exposure 가 생긴다. 취약한 구성요소를 악용해 데이터 손실이나 서버 장악을 일으키는 취약점은 Using Components with Known Vulnerabilities 항목이다.

웹 프록시는 웹 브라우저와 웹 서버 사이에서 요청을 전달하고 응답을 되돌려 주며 교환 데이터를 변경할 수 있는 중개 도구다. 웹 프록시는 웹 브라우저와 웹 서버 사이에서 요청을 전달하고 응답을 되돌려 주며 교환 데이터를 변경할 수 있는 중개 도구다. 네트워크 도청은 암호화로 막을 수 있으며, 웹 프록시는 중간 계층에서 트래픽을 통제하는 수단이다. 웹 프록시는 그 자체로 공격 기법이 아니라 트래픽을 보고 통제하는 수단이라는 점에서 공격과 구분해 둔다.

「정보통신기반 보호법」은 관리기관의 장이 주요정보통신기반시설의 취약점을 정기적으로 분석·평가하도록 정한다. 판례는 해킹이 계속 새로운 방식으로 시스템을 노리므로 완벽한 보안을 갖추기는 기대하기 쉽지 않다고 보고, 해킹 당시 보편적으로 알려진 보안 기술 수준을 기준으로 보호조치 의무 위반 여부를 판단한다고 본다. 기술적·관리적 보호조치를 다한 경우에는 원칙적으로 의무를 위반하였다고 보기 어렵다고 본다.

웹 취약점의 효과는 데이터 유출·변조·파괴와 서버 장악으로 나타나며, 방어는 완벽한 차단보다 취약점 분석과 중간 계층의 통제를 함께 하는 방식으로 이루어진다. 취약점은 보안 기술이 새로운 공격 방법에 사후적으로 대응하며 보완되는 구조이므로 한 번의 설정으로 끝나지 않는다.

자세히

웹 취약점 분류

Broken Access Control 과 Broken Authentication 은 모두 누가 무엇을 할 수 있는지를 통제하는 장치의 문제이지만 실패가 일어나는 지점이 다르다. 접근 통제는 허용되지 않은 기능이나 데이터에 닿는 것을 막지 못하는 권한 판단의 실패이고, 인증은 신원을 확인하고 세션을 관리하는 과정의 실패다. 인증 실패는 로그인이 우회되거나 세션이 탈취되는 형태로 나타나기 쉽다.

Sensitive Data Exposure 는 개인정보와 중요 데이터를 보호하지 않아 노출되는 취약점이며, 저장과 전송 단계의 보호 미흡이 핵심이다. Using Components with Known Vulnerabilities 는 알려진 취약점을 가진 구성요소, 라이브러리, 프레임워크를 사용하는 문제로, 이 취약점이 악용되면 데이터 손실이 발생할 수 있다. 서버 장악까지 이어진다는 점이 이 항목을 묻는 선지의 핵심 표지다.구성요소 취약점은 서버 장악

공격 기법과 입력 값 조작

XPath 인젝션은 XML 데이터를 조회하는 XPath 쿼리에 조작된 입력을 넣어 비정상적인 데이터를 가져오는 공격이다. 쿠키 변조는 쿠키 값을 바꿔 다른 사용자로 위장하거나 권한을 올리는 공격이다. 두 공격은 서버가 신뢰하는 입력 값을 공격자가 바꾼다는 점에서 같은 계열로 묶어 볼 수 있으나, 조작 대상이 쿼리인지 쿠키인지에 따라 명칭이 달라진다. 공격 명칭을 고를 때는 무엇이 조작되었는지부터 확인하는 것이 순서다.