OWASP Top 10 2021 인포그래픽
소개
현대적인 앱과 아키텍처, 멀티 클라우드 배포, 소프트웨어 공급망 및 CI/CD 파이프라인을 비롯한 타사 통합에 의존하는 오늘날의 디지털 경제에서는 공격자가 악용할 수 있는 기회가 폭발적으로 증가했습니다. 2021년 OWASP Top 10은 애플리케이션 설계 및 구현의 보안을 강화하기 위해 반드시 읽어야 할 지침으로서 새로운 위험의 물결을 다룹니다.
20년 만에 이루어진 가장 중요한 업데이트
2003년에 처음 발표된 OWASP Top 10은 웹 애플리케이션에 대한 가장 심각한 보안 위험을 폭넓은 합의를 바탕으로 정리한 목록입니다. 지난 20년 동안 주요 위험은 대체로 변하지 않았지만, 2021년 업데이트에서는 다음 세 가지 주제 영역의 애플리케이션 위험을 다루기 위해 중요한 변경 사항이 적용되었습니다:
증상을 근본 원인에 맞춰 위험을 재분류
최신 애플리케이션 아키텍처 및 개발을 포괄하는 새로운 위험 범주
취약점 악용 및 비즈니스 로직 오용
침해 사고의 가장 큰 원인은 무엇인가요?
액세스 공격
““액세스 공격, 즉 사용자 대상 인증 인터페이스를 겨냥한 공격은 침해 사고의 가장 빈번한 단일 원인이었습니다.”1 ”
— 2022 애플리케이션 보호 보고서: 데이터 유출을 예상하며
2021년의 새로운 기능
OWASP Top 10 업데이트에 영향을 미친 주요 요인은 다음과 같습니다:
2017
전통적인 웹 애플리케이션에 집중
소규모 데이터 세트(지정된 30개 CWE 하위 집합)
다양한 위험 요인 및 기술적/비즈니스 영향
20년 넘게 가장 큰 위험으로 꼽혀 온 인젝션
2021
현대적 아키텍처로 전환
400개의 CWE를 활용한 데이터 기반 프로세스
증상과 근본 원인을 중심으로 재분류
새로운 위험의 물결: 안전하지 않은 설계와 구현
2021년 OWASP 10대 보안 위험
A01
취약한 접근 제어
A02
암호화 실패
A03
인젝션
A04
안전하지 않은 설계
A05
보안 설정 오류
A6
취약하거나 오래된 구성 요소
A7
식별 및 인증 실패
A8
소프트웨어 및 데이터 무결성 오류
A9
보안 로깅 및 모니터링 실패
A10
서버 측 요청 위조(SSRF)
테마 #1
근본 원인별 증상
무엇이 변경되었나요?
OWASP Top 10 위험은 흔히 취약점 공격으로 이어지는 공통 취약점 유형(CWE)에 매핑됩니다. 그러나 이전의 OWASP 데이터 수집은 사전에 정해진 30개의 CWE에 초점을 맞췄으며, 이전 목록에서는 근본 원인을 나타내는 CWE와 다양한 잠재적 원인에서 비롯되는 보다 증상적인 취약점을 명확히 구분하지 않았습니다. 2021년 목록에는 400개의 CWE가 반영되어 더 폭넓은 분석이 가능해졌습니다.
2017년: 증상
A3:2017
민감한 데이터 노출
A7:2017
크로스 사이트 스크립팅(XSS)
A4:2017
XML 외부 개체(XXE)
A9:2017
알려진 취약점이 있는 구성 요소 사용
A8:2017
안전하지 않은 역직렬화
A10:2017
불충분한 로깅 및 모니터링
2021년: 근본 원인
A02:2021
암호화 실패
A03:2021
인젝션
A05:2021
보안 구성 오류
A06:2021
취약하고 오래된 구성 요소
A08:2021
소프트웨어 및 데이터 무결성 오류
A09:2021
보안 로깅 및 모니터링 실패
왜 중요한가요?
2021년 목록은 증상을 근본 원인과 더욱 정확하게 연결하여 보안 팀이 위험의 근원을 줄이는 데 집중할 수 있도록 지원합니다.
클라우드 침해 사고의 가장 큰 원인은 무엇인가요?
보안 구성 오류
“우리가 여러분에게 바라는 것은 증상에 임시방편으로 대처하려 하기보다, 근본 원인이 무엇인지, 그리고 이를 해결하기 위해 무엇을 할 수 있는지 진지하게 고민하는 것입니다.2 ”
—Andrew van der Stock, OWASP 재단 전무이사
테마 #2
새로운 위험 범주
무엇이 변경되었나요?
새롭게 추가된 세 가지 위험 범주는 애플리케이션 설계 초기 단계부터 보안을 고려하고, 소프트웨어 수명 주기 전반에 보안을 통합해야 할 필요성을 강조합니다.
A04: 2021
안전하지 않은 설계
A08: 2021
소프트웨어 및 데이터 무결성 오류
A10: 2021
서버 측 요청 위조
왜 이것이 중요할까요?
최근 공개된 log4j2 취약점은 오픈 소스 소프트웨어 익스플로잇의 심각성을 부각합니다. log4j2 로깅 유틸리티의 약점은 OWASP Top 10 위험 범주 중 두 가지에 해당하며, 실제 공격에 악용되는 CVE까지 더해져 인젝션, 소프트웨어 및 데이터 무결성 오류, 취약하고 오래된 구성 요소라는 세 가지 위험이 모두 결합된 사례입니다.
“안전하게 설계되었더라도 구현상의 결함으로 인해 악용될 수 있는 취약점이 발생할 수 있습니다.”
—OWASP 2021년 상위 10대 항목
테마 #3
최신 애플리케이션 및 아키텍처 보호
변경된 사항
클라우드 배포, 컨테이너화, 모바일 앱, API 및 타사 통합의 확산과 함께 애플리케이션 아키텍처도 발전해 왔습니다. 로그인 페이지, 장바구니 및 기타 비즈니스 로직은 결함이 아니지만, 본질적으로 악용될 위험이 있습니다. 2021년 OWASP Top 10은 이러한 새로운 환경에서 선제적이고 예방적인 보안을 구현하기 위한 지침을 제공합니다.
왜 중요한가요?
보안은 안전한 CI/CD 파이프라인, 구성 요소 인벤토리, 위협 모델링, 체계적인 위험 관리를 비롯한 애플리케이션 개발 프로세스 전반에 통합되어야 합니다. 최신 OWASP Top 10은 보안을 기본 설계 원칙에 더 이른 단계부터 반영하려는 보안 및 AppDev/DevOps 전문가에게 유용한 자료를 제공합니다.
1 F5 2022 애플리케이션 보호 보고서.
2 Van der Stock, Andrew, OWASP Top 10 (https://www.youtube.com/watch?v=uLBCDBnMEt0), YouTube. 2021년 10월 8일.
