2021 OWASP Top 10 라이트보드 강의 동영상 시리즈

테스트한 애플리케이션의 94%에서 어떤 형태로든 접근 제어 취약점이 발견되었습니다. 이러한 취약점은 데이터의 무단 공개, 변경 또는 삭제와 권한 상승을 초래할 수 있으며, 계정 탈취(ATO), 데이터 유출, 벌금 및 브랜드 이미지 훼손으로 이어질 수 있습니다.

이전에 "민감한 데이터 노출"로 알려졌던 암호화 실패는 민감한 데이터의 노출과 사용자 세션 탈취로 이어집니다. TLS 1.3이 널리 도입되었음에도 불구하고, 오래되고 취약한 프로토콜이 여전히 활성화되고 있습니다.

인젝션은 신뢰할 수 없는 입력이 애플리케이션의 프로그램 실행을 변경하는 광범위한 공격 벡터 유형입니다. 이로 인해 데이터 도난, 데이터 무결성 훼손, 서비스 거부, 시스템 전체 장악 등이 발생할 수 있습니다. 인젝션은 더 이상 가장 큰 위험 요소는 아니지만, 여전히 심각한 위협입니다.

보안은 애플리케이션에 내재되어야 합니다. 안전하게 설계했더라도 구현상의 결함으로 인해 취약점이 발생할 수 있습니다. 반면 안전하지 않은 설계는 아무리 완벽하게 구현해도 바로잡을 수 없습니다.

보안 구성 오류는 클라우드 침해 사고의 주요 원인입니다. 최신 애플리케이션 개발, 소프트웨어 재사용, 여러 클라우드에 걸친 아키텍처 확산으로 이러한 위험이 커지는 가운데, 무엇을 해야 하고 무엇을 피해야 하는지 알아보세요.

오픈 소스 소프트웨어의 취약점 악용은 수많은 대형 보안 사고의 원인이 되고 있습니다. 최근 발견된 Log4j2 취약점은 지금까지 이 범주에서 가장 심각한 위험일 수 있습니다.

비즈니스 로직 악용을 방지하려면 신원을 확인하고 강력한 인증 및 세션 관리를 적용하는 것이 매우 중요합니다. 대부분의 인증 공격은 비밀번호를 계속 사용하는 데서 비롯됩니다. 탈취된 자격 증명, 봇넷, 정교한 도구는 크리덴셜 스터핑과 같은 자동화 공격의 투자수익률을 높이는 요인입니다.

이 새로운 위험 범주는 무결성을 검증하지 않은 채 소프트웨어 업데이트, 중요 데이터 및 CI/CD 파이프라인을 신뢰하는 데서 발생하는 위험에 초점을 맞춥니다. SolarWinds 공급망 공격은 지금까지 발생한 공격 중 피해가 가장 컸던 사례 중 하나입니다.

앱 활동을 적절히 로깅하고 모니터링하지 않으면 침해 사고를 탐지할 수 없습니다. 이는 가시성, 사고 경보 및 포렌식에 직접적인 영향을 미칩니다. 공격자가 탐지되지 않은 채 오래 활동할수록 시스템이 침해될 가능성이 커집니다.

SSRF 취약점은 웹 앱이 사용자가 제공한 URL을 검증하지 않고 원격 리소스를 가져올 때 발생합니다. 공격자는 방화벽, VPN 또는 기타 네트워크 액세스 제어 목록(ACL)으로 보호되는 대상이라도 앱이 예상치 못한 대상으로 요청을 보내도록 유도할 수 있습니다.