OWASP란? OWASP Top 10 취약점 및 위험 소개

OWASP Top 10 목록에 특정 위험이 포함되어 있다고 해서 모든 웹 애플리케이션에서 해당 위험의 확산이나 심각성이 있음을 의미하지는 않으며, Top 10 목록은 특정 순서 또는 우선 순위에 따라 순위가 매겨지지 않습니다.

OWASP Top 10 목록에 특정 위험이 포함되어 있다고 해서 모든 웹 애플리케이션에서 해당 위험의 확산이나 심각성이 있음을 의미하지는 않으며, Top 10 목록은 특정 순서 또는 우선 순위에 따라 순위가 매겨지지 않습니다.

2021년 OWASP Top 10 웹 애플리케이션 보안 위험은 다음과 같습니다.

취약한 액세스 제어. 이 취약점은 액세스 제어 및 권한 부여가 불충분하게 적용되어 공격자가 권한이 없는 기능이나 데이터에 액세스할 수 있는 경우 발생합니다. 애플리케이션이 내부 개체에 대한 사용자 입력의 유효성을 검증하거나 권한을 부여하지 못할 때 발생할 수 있는 안전하지 않은 직접 개체 참조(IDOR) 때문일 수 있습니다. 또한 애플리케이션이 초기 인증 또는 승인 단계에서만 액세스 제어를 검증하고 애플리케이션의 기능 또는 작업 중에는 이러한 제어를 일관되게 적용하지 않는 경우 기능 수준 액세스 제어가 이루어지지 않아 발생할 수 있습니다. 웹 애플리케이션 방화벽(WAF)을 통해 액세스 제어를 모니터링하고 적용하여 민감한 개체 또는 리소스에 대한 무단 액세스를 방지함으로써 이러한 공격을 차단할 수 있습니다.

1. 인젝션 공격. 인젝션 결함은 공격자가 신뢰할 수 없거나 적대적인 데이터를 명령 또는 쿼리 언어에 삽입하거나 애플리케이션이 사용자가 제공한 데이터에 대해 유효성 검사, 필터링 또는 검사를 실시하지 않아 의도하지 않게 악성 명령이 실행될 때 발생합니다. 이 공격의 범주에는 NoSQL, OS 명령, LDAP, SQL 인젝션 공격이 포함되며 다른 사용자가 보는 웹 페이지에 JavaScript와 같은 악의적인 클라이언트 측 스크립트를 주입하는 크로스 사이트 스크립팅(XSS)도 포함됩니다. 이로 인해 로그인 자격 증명, 개인정보 또는 세션 쿠키와 같은 민감한 정보가 도용될 수 있습니다. WAF는 반영(비영구), 저장(영구), 문서 객체 모듈(DOM-) 기반 XSS 등의 수신되는 요청을 검사하고 필터링하여 악성 코드 주입 시도를 탐지하고 차단하여 애플리케이션에 도달하지 못하도록 합니다.

2. 암호화 오류. 이 위험은 전송 중 및 저장 중인 민감한 데이터를 제대로 보호하지 못하기 때문에 발생합니다. 암호화 오류가 발생하면 데이터 보안 침해, 기밀 정보에 대한 무단 액세스, EU 일반 데이터 보호 규정(GDPR) 등의 데이터 개인정보 보호규정 및 PCI 데이터 보안 표준(PCI DSS) 등의 금융 표준을 위반할 수 있습니다. 이러한 오류는 안전하지 않은 암호화 저장, 일반 텍스트로 데이터 저장, 안전하지 않은 키 관리로 인해 발생할 수 있습니다. 이 위험은 또한 취약한 키 또는 난수 생성이나 암호화 프로토콜의 결함으로 인한 정보 유출 때문에 발생할 수 있습니다.
3. 보안 구성 오류. 웹 애플리케이션 프레임워크, 플랫폼, 서버 또는 보안 제어의 보안을 강화하지 않으면 무단 액세스, 민감한 정보 노출 또는 기타 보안 취약점이 발생할 수 있습니다. 보안 설정 오류로 인한 위험은 클라우드 서비스에 대한 권한이 잘못 구성되거나 사용하지 않는 포트, 서비스, 계정 또는 권한과 같은 불필요한 기능을 설치 또는 활성화하는 경우에도 발생할 수 있습니다. 주요 클라우드 제공업체는 다양한 기본 보안 태세를 가지고 있으며 아키텍처가 멀티 클라우드 패브릭 전체에 걸쳐 점점 더 분산되고 있기 때문에 웹 앱과 API에 대한 잘못된 구성 오류는 큰 위험이 됩니다.
4. 취약하고 오래된 구성 요소. 오래되거나, 패치가 적용되지 않았거나, 취약한 라이브러리, 프레임워크, 플러그인과 같은 구성 요소를 사용하면 애플리케이션이 알려진 보안 결함에 노출되어 공격 위험이 증가할 수 있습니다. 이러한 위험은 운영 체제(OS), 웹/애플리케이션 서버, 데이터베이스 관리 시스템(DBMS), 애플리케이션, API, 모든 구성 요소, 런타임 환경, 라이브러리 등 지원되지 않거나 오래된 소프트웨어로 인해 발생할 수 있습니다. 이러한 위협은 조직이 시스템의 기본 플랫폼, 프레임워크, 종속성을 수정하거나 업그레이드하기 위한 시기적절한 위험 기반 조치를 취하지 않는 경우 특히 위험하며, 시스템이 알려진 위험에 며칠 또는 몇 주 동안 불필요하게 노출되도록 방치할 때 위험합니다. 복잡합 소프트웨어 공급망과 CI/CD 파이프라인을 통한 자동화는 취약한 소프트웨어를 IT스택에 도입될 위험을 증가시킵니다. WAF는 이러한 취약점 악용을 차단하는 데 중요한 역할을 할 수 있습니다.
5. 식별 및 인증 실패. 인증, ID, 세션 관리의 취약성으로 인해 공격자는 사용자 계정, 비밀번호, 세션 토큰을 손상시키거나 안전하지 않은 세션 처리를 악용할 수 있습니다. 이러한 영역에 결함이 있으면크리덴셜 스터핑과 같은 자동화된 공격이 허용될 수 있습니다. 많은 사람들이 비밀번호를 재사용하거나 기본 비밀번호, 약한 비밀번호 또는 잘 알려진 비밀번호를 사용하기 때문에 비밀번호 관련 취약성은 이러한 위험의 가장 일반적인 원인이 됩니다. 세션 관리 문제는 특히 로그아웃하거나 비활성 기간 동안 사용자 세션 또는 인증 토큰이 제대로 무효화되지 않은 경우 인증 관련 공격으로 이어질 수 있습니다. OWASP Top 10, API 보안 Top 10, 자동화된 위협 프로젝트에 자세히 설명된 바와 같이 인증 제어를 우회하는 공격은 웹 앱과 API 모두에서 증가하고 있는 위험입니다.
6. 소프트웨어 및 데이터 무결성 문제. 이러한 취약점은 데이터 및 소프트웨어의 무결성 위반으로부터 보호하지 못하는 애플리케이션 코드 및 인프라로 인해 발생합니다. 이는 애플리케이션이 신뢰할 수 없는 소스, 리포지토리, CDN의 플러그인, 라이브러리 또는 모듈에 의존할 때 발생할 수 있습니다. 검증되지 않은 소프트웨어 업데이트, 민감한 데이터 수정,CI/CD 파이프라인 변경 시에도 발생할 수 있습니다. 공격자는 잠재적으로 자체 업데이트를 업로드하여 모든 설치에 배포하고 실행할 수 있습니다. 애플리케이션이 신뢰할 수 없는 직렬화된 데이터를 가져와 유효성을 검증하지 않고 소비하는 안전하지 않은 역직렬화(insecure deserialization)도 이 위험 카테고리에 속하며, 이로 인해 원격 코드 실행(RCE) 및 권한 상승과 같은 공격이 발생할 수 있습니다.
7. 식별 및 인증 실패. 인증, ID, 세션 관리의 취약성으로 인해 공격자는 사용자 계정, 비밀번호, 세션 토큰을 손상시키거나 안전하지 않은 세션 처리를 악용할 수 있습니다. 이러한 영역에 결함이 있으면크리덴셜 스터핑과 같은 자동화된 공격이 허용될 수 있습니다. 많은 사람들이 비밀번호를 재사용하거나 기본 비밀번호, 약한 비밀번호 또는 잘 알려진 비밀번호를 사용하기 때문에 비밀번호 관련 취약성은 이러한 위험의 가장 일반적인 원인이 됩니다. 세션 관리 문제는 특히 로그아웃하거나 비활성 기간 동안 사용자 세션 또는 인증 토큰이 제대로 무효화되지 않은 경우 인증 관련 공격으로 이어질 수 있습니다. OWASP Top 10, API 보안 Top 10, 자동화된 위협 프로젝트에 자세히 설명된 바와 같이 인증 제어를 우회하는 공격은 웹 앱과 API 모두에서 증가하고 있는 위험입니다.
8. 서버 측 요청 위조(SSRF). 이러한 취약점은 애플리케이션이 원격 리소스에서 데이터를 가져오기 전에 사용자가 입력한 URL의 유효성을 검증하거나 검사하지 않을 때 발생합니다. 공격자는 이러한 결함을 사용하여 방화벽 또는 기타 방어 조치로 보호되는 경우에도 애플리케이션이 악의적인 웹 대상에 액세스하도록 할 수 있습니다. 또한 표적이 되는 리소스가 클라우드 메타데이터 서비스 또는 백엔드 API 등의 다른 시스템과 신뢰 관계를 맺고 있는 경우에도 발생할 수 있으며, 공격자는 이를 통해 신뢰할 수 있는 서비스에 대한 요청을 수행하고 민감한 정보를 추출하거나 승인되지 않은 작업을 수행할 수 있습니다. SSRF의 위험을 최소화하기 위해 최소 권한 액세스를 위한 시스템을 설계하고 WAF를 사용하여 보안 정책에 인터넷 식별자(URI) 매개 변수를 명시적으로 정의하고 액세스할 수 있는 호스트를 허용 및 차단해야 합니다.
9. 2021 OWASP Top 10은 이전 2017 OWASP Top 10의 새로운 카테고리 및 명칭 변경 사항을 반영합니다. 이러한 변경 사항에는 2017 위험 위협 XML 외부 엔터티 (XXE)를 2021 보안 구성 오류(Security Misconfiguration) 카테고리에 통합하고 2017 크로스 사이트 스크립팅(XSS)을 2021 인젝션 카테고리에 추가하는 것이 포함됩니다. 2017 위험인 안전하지 않은 역직렬화(Insecure Deserialization)는 이제 2021 소프트웨어 및 데이터 무결성 문제(Software and Data Integrity Failures) 카테고리에 속합니다.
10. 서버 측 요청 위조(SSRF). 이러한 취약점은 애플리케이션이 원격 리소스에서 데이터를 가져오기 전에 사용자가 입력한 URL의 유효성을 검증하거나 검사하지 않을 때 발생합니다. 공격자는 이러한 결함을 사용하여 방화벽 또는 기타 방어 조치로 보호되는 경우에도 애플리케이션이 악의적인 웹 대상에 액세스하도록 할 수 있습니다. 또한 표적이 되는 리소스가 클라우드 메타데이터 서비스 또는 백엔드 API 등의 다른 시스템과 신뢰 관계를 맺고 있는 경우에도 발생할 수 있으며, 공격자는 이를 통해 신뢰할 수 있는 서비스에 대한 요청을 수행하고 민감한 정보를 추출하거나 승인되지 않은 작업을 수행할 수 있습니다. SSRF의 위험을 최소화하기 위해 최소 권한 액세스를 위한 시스템을 설계하고 WAF를 사용하여 보안 정책에 인터넷 식별자(URI) 매개 변수를 명시적으로 정의하고 액세스할 수 있는 호스트를 허용 및 차단해야 합니다.

2021 OWASP Top 10은 이전 2017 OWASP Top 10의 새로운 카테고리 및 명칭 변경 사항을 반영합니다. 이러한 변경 사항에는 2017 위험 위협 XML 외부 엔터티 (XXE)를 2021 보안 구성 오류(Security Misconfiguration) 카테고리에 통합하고 2017 크로스 사이트 스크립팅(XSS)을 2021 인젝션 카테고리에 추가하는 것이 포함됩니다. 2017 위험인 안전하지 않은 역직렬화(Insecure Deserialization)는 이제 2021 소프트웨어 및 데이터 무결성 문제(Software and Data Integrity Failures) 카테고리에 속합니다.