The OWASP Top 10은 오랫동안 웹 애플리케이션의 가장 중대한 보안 위험을 이해하기 위한 표준으로 자리매김해 왔습니다. OWASP가 2025년판을 발표하자 전 세계 보안 팀이 주목했습니다. 오늘 F5 Distributed Cloud Web App Scanning이 이제 OWASP Top 10 2025를 포괄적으로 지원하여 조직이 가장 중요한 취약점을 식별하고 해결할 수 있도록 지원한다는 소식을 기쁜 마음으로 전해드립니다.
“F5 Distributed Cloud Web App Scanning은 OWASP Top 10 2025의 10가지 주요 웹 앱 취약점 범주를 모두 포괄합니다.”
OWASP Top 10 2025의 새로운 점은 무엇인가요?
2025년 OWASP Top 10 업데이트에서는 웹 애플리케이션 보안 분야의 주요 공급업체가 제공한 280만 개 이상의 애플리케이션 데이터를 분석하고, 10개 범주에 걸쳐 248개의 공통 취약점 유형(CWE)을 매핑했습니다. 이는 이전 버전에 비해 크게 확장된 것입니다.
2025년 업데이트에서는 진화하는 위협 환경을 반영해 완전히 새로운 두 가지 범주를 도입하고 기존 범주 일부를 통합했습니다. OWASP는 가능한 한 표면적인 현상보다 근본 원인에 초점을 맞춰 개발팀이 지침을 더욱 실질적으로 활용할 수 있도록 했습니다.
다음은 2025년 OWASP Top 10 전체 목록입니다:
- A01:2025 - 취약한 접근 제어 가장 심각한 애플리케이션 보안 위험 1위 자리를 유지하고 있습니다. 테스트한 애플리케이션 중 평균 3.73%에서 이 범주에 속하는 40개 CWE 중 하나 이상이 발견되었습니다. 특히 2021년에 별도의 10위 범주였던 서버 측 요청 위조(SSRF)가 이 범주로 통합되었습니다.
- A02:2025 - 보안 구성 오류 2021년 5위에서 2위로 상승했습니다. 현대 소프트웨어 엔지니어링이 구성 기반 동작에 더욱 의존함에 따라 구성 오류가 점점 더 빈번하게 발생하고 있습니다. OWASP에 따르면 테스트한 애플리케이션의 3.00%에서 이 범주의 취약점이 발견되었습니다.
- A03:2025 - 소프트웨어 공급망 장애 는 기존의 ‘취약하고 오래된 구성 요소’ 위험군을 확장한 새로운 범주입니다. 소프트웨어 종속성, 빌드 시스템 및 배포 인프라로 이루어진 전체 생태계에서 발생하는 침해를 포괄합니다. 테스트 데이터에서 발생 건수는 가장 적지만, 평균 악용 가능성 및 영향 점수는 가장 높습니다.
- A04:2025 - 암호화 실패 2위에서 4위로 하락했습니다. 순위 변동에도 불구하고 여전히 애플리케이션의 3.80%에서 민감한 데이터 노출이나 시스템 침해로 이어질 수 있는 암호화 취약점이 발견됩니다.
- A05:2025 - 인젝션 3위에서 5위로 하락했지만, 여전히 가장 많이 테스트되는 범주 중 하나이며 관련 CVE 수도 가장 많습니다. 이 범주에는 크로스 사이트 스크립팅부터 SQL 인젝션까지 다양한 취약점이 포함됩니다.
- A06:2025 - 안전하지 않은 설계 4위에서 6위로 하락했습니다. 2021년에 도입된 이 범주는 업계에서 위협 모델링과 안전한 설계 관행을 도입함에 따라 눈에 띄게 개선되었습니다.
- A07:2025 - 인증 실패 기존 순위를 유지했으며, 명칭만 “식별 및 인증 실패”에서 소폭 변경되었습니다. 표준화된 인증 프레임워크의 도입이 확대되면서 발생 빈도가 감소하고 있는 것으로 보입니다.
- A08:2025 - 소프트웨어 또는 데이터 무결성 실패 8위를 유지하며, 신뢰 경계를 유지하고 소프트웨어, 코드 및 데이터 아티팩트의 무결성을 검증하지 못하는 문제에 중점을 둡니다.
- A09:2025 - 보안 로깅 및 경고 실패는 경고의 중요성을 강조하도록 명칭이 변경되었지만 순위는 그대로 유지되었습니다. OWASP가 지적하듯이, 아무리 훌륭한 로깅도 경고가 없다면 보안 사고를 식별하는 데 거의 도움이 되지 않습니다.
- A10:2025 - 예외 조건의 잘못된 처리 는 부적절한 오류 처리, 논리 오류, 장애 발생 시 허용(fail-open), 기타 비정상적인 조건에서 비롯되는 시나리오에 중점을 둔 24개의 CWE를 포함하는 새로운 범주입니다.
F5 Distributed Cloud Web App Scanning의 OWASP Top 10 2025 대응 방식
Distributed Cloud Web App Scanning은 새로운 프레임워크에 매핑된 50개의 테스트 클래스를 통해 10개 범주를 모두 지원합니다.
핵심 범주에는 취약한 액세스 제어, 보안 구성 오류, 암호화 실패, 인젝션, 안전하지 않은 설계, 인증 실패, 소프트웨어 또는 데이터 무결성 실패가 포함되며, 당사의 스캐너는 이러한 범주를 포괄적으로 탐지할 수 있습니다.
이러한 범주에는 수년간 실제 환경에서의 스캔을 통해 개선된 성숙한 테스트 스위트가 적용되며, 최신 버전에서 각 범주의 범위가 어떻게 변화했는지를 반영하기 위해 새로운 테스트도 추가했습니다. 예를 들어, 취약한 접근 제어(Broken Access Control)는 이제 이전에 독립된 범주였던 서버 측 요청 위조(SSRF)를 포함하며, 보안 구성 오류(Security Misconfiguration)는 구성 중심 환경의 복잡성이 증가하는 추세에 대응하도록 범위가 확대되었습니다.
새로운 OWASP Top 10에서 새로 추가되거나 범위가 확대된 일부 범주(예: 소프트웨어 공급망 장애(A03:2025))는 기존의 취약한 종속성 탐지 범위를 넘어섰습니다. 이에 따라 공급망 공격에서 공격자가 자주 악용하는 패치되지 않은 시스템과 잘못 구성된 구성 요소를 검사하는 테스트를 추가했습니다.
로깅 및 경고 실패(Logging & Alerting Failures, A09:2025)는 명칭이 변경된 범주로, 이제 로깅과 더불어 경고의 중요성도 강조합니다. 새롭게 추가된 테스트는 사고 탐지를 지연시킬 수 있는 보안 이벤트 모니터링의 허점을 식별하는 데 도움이 됩니다.
새로운 범주인 예외 상황의 부적절한 처리(A10:2025)를 위해 오류 메시지를 통한 민감한 데이터 노출, 사용자 지정 오류 페이지 누락, 예기치 않은 매개변수의 부적절한 처리에 대한 테스트를 도입했습니다. 이는 모두 애플리케이션이 의도치 않게 공격자에게 정보를 노출하는 일반적인 방식입니다.
이것이 보안 프로그램에 중요한 이유
규정 준수 프레임워크, 침투 테스트 표준 및 보안 평가에서는 OWASP Top 10을 자주 참조합니다. 업데이트된 스캐너를 통해 조직은 최신 표준을 더욱 손쉽게 준수할 수 있습니다. 이제 보안 보고서에서 발견된 문제를 2025년 카테고리에 매핑하므로 이해관계자에게 위험을 전달하고 OWASP를 참조하는 프레임워크의 준수 여부를 입증하기가 더욱 간편해졌습니다.
조직은 위험 완화 조치의 우선순위도 더욱 효과적으로 정할 수 있습니다. OWASP Top 10은 수백만 개의 애플리케이션을 테스트하여 파악한 실제 공격 패턴을 반영합니다. 팀은 이러한 범주에 완화 노력을 집중함으로써 악용될 가능성이 가장 높은 취약점을 해결할 수 있습니다.
조직이 범죄자보다 한발 앞서 새롭게 부상하는 위험에 선제적으로 대응하는 것도 중요합니다. 소프트웨어 공급망 장애와 같은 새로운 범주는 최근 몇 년간 크게 증가한 공격 경로를 조명합니다. 테스트 데이터가 제한적임에도 공급망 취약점은 악용 가능성과 영향도 점수가 가장 높으며, 당사의 스캐너는 공격자가 악용하기 전에 이러한 위험을 발견할 수 있도록 지원합니다.
시작하기
기존 Distributed Cloud Web App Scanning 고객은 검사 결과에 업데이트된 OWASP Top 10 2025 매핑이 자동으로 적용됩니다. 별도의 구성 변경 없이 평소처럼 검사를 실행하고 새로운 프레임워크에 따라 분류된 결과를 검토하면 됩니다.
온프레미스 환경에서 운영하는 조직을 위해 OWASP Top 10 2025 전체 테스트 스위트가 포함된 업데이트된 Docker 이미지가 제공됩니다.
Distributed Cloud Web App Scanning을 처음 접하신다면, 지금이 동적 애플리케이션 보안 테스트가 보안 태세를 어떻게 강화할 수 있는지 평가해 볼 좋은 기회입니다. 당사의 스캐너는 포괄적인 취약점 탐지 기능과 완전 관리형 SaaS 플랫폼의 간편함을 결합하여, 보안 팀이 기존 동적 애플리케이션 보안 테스트(DAST) 도구의 운영 부담 없이 애플리케이션을 보호할 수 있도록 지원합니다.
F5 Distributed Cloud Web App Scanning 및 OWASP Top 10 2025 기능에 대해 자세히 알아보려면 제품 페이지를 방문하거나 저희 팀에 문의하여 데모 일정을 예약하세요.
작성자 소개
관련 블로그 게시물
F5 NGINX Gateway Fabric로 AI 제공 표준화
F5 NGINX Gateway Fabric이 기업의 Kubernetes 트래픽 표준화, 애플리케이션 보안 강화, 대규모 AI 추론 준비를 어떻게 지원하는지 알아보세요.
F5의 CalypsoAI 인수 발표, TRiSM 프레임워크 구축을 향한 행보
F5의 CalypsoAI 전략적 인수를 통해 조직은 보안, 개인정보 보호 및 운영 통제력을 유지하면서도 안심하고 AI를 도입할 수 있습니다. 자세한 내용은 블로그에서 확인하세요.
사이버 복원력: LLM을 위한 OWASP Top 10 위험 완화
OWASP가 2025년 LLM 및 생성형 AI 앱을 위한 10대 위험 및 완화 방안을 발표하면서 업계에 절실히 필요했던 보안 기준이 마련되었습니다. 하지만 실행이 뒤따르지 않는 기준은 아무 의미가 없습니다. F5 AI 런타임 보안 솔루션은 OWASP 10대 위험의 80%에 대응하며, 현실에서 가장 시급한 위험을 우선적으로 해결합니다. 이 솔루션은 실시간 런타임 보호 기능을 결합하여 […]
석유 및 가스 산업을 위한 AI 보안
AI는 지질 모델링과 시추 최적화부터 파이프라인 모니터링, 예측 유지보수, 원자재 거래에 이르기까지 석유 및 가스 산업을 재편하고 있습니다. 하지만 이러한 미션 크리티컬 활용 사례에는 높은 위험도 따릅니다. 당사의 AI 런타임 보안 솔루션은 검증을 위한 레드팀, 보호를 위한 Guardrails, 그리고 내장된 관측 가능성을 통해 석유 및 가스 산업을 안전하게 보호합니다. […]
인사 부서를 위한 AI 보안
AI는 HR을 혁신하고 있습니다. 기업들은 비용을 절감하고 직원 경험을 개선하기 위해 AI 기반 채용 코파일럿, 온보딩 도우미, 직원 지원 챗봇, 인력 분석 도구를 도입하고 있습니다. 하지만 HR 애플리케이션에는 규정 준수 실패, 편향 논란, 평판 훼손으로 이어질 수 있는 고유한 위험도 존재합니다. 당사의 AI 런타임 보안 솔루션은 다음과 같은 방식으로 HR 분야를 보호합니다. […]
기업 법무 관리를 위한 AI 보안
AI는 계약 검토 및 증거개시 자동화부터 규제 준수 모니터링과 민감한 지식재산 관리에 이르기까지 기업 법무팀의 업무 방식을 혁신하고 있습니다. 그러나 법률 환경은 AI 도입 시 가장 큰 위험이 따르는 분야 중 하나입니다. 당사의 AI 런타임 보안 솔루션은 검증을 위한 레드팀, Guardrails 등 세 가지 접근 방식으로 기업 법무 관리를 보호합니다 […]