OWASP란? OWASP 10대 취약점 및 위험 소개

OWASP는 소프트웨어 보안 향상을 위해 활동하는 비영리 재단입니다.

OWASP(Open Worldwide Application Security Project)는 조직이 신뢰할 수 있는 안전한 애플리케이션용 소프트웨어를 설계, 개발, 도입, 운영 및 유지 관리할 수 있도록 지원하는 데 전념하는 개방형 커뮤니티입니다. 주요 활동으로는 커뮤니티 주도의 오픈 소스 소프트웨어 프로젝트와 지역 및 글로벌 콘퍼런스가 있으며, 전 세계 수백 개 지부에서 수만 명의 회원이 참여하고 있습니다.

OWASP가 중요한 이유는 무엇인가요?

OWASP는 웹 애플리케이션 보안 위험에 대한 인식을 높이는 데 중요한 역할을 하며, 갈수록 커지는 웹 애플리케이션 보안 문제에 대응할 수 있도록 유용한 리소스, 도구, 문서 및 모범 사례를 제공합니다. OWASP는 개발자, 보안 전문가 및 조직이 잠재적인 위협을 이해하고 보안 모범 사례를 도입하도록 지원합니다.

OWASP는 가장 심각한 10대 웹 애플리케이션 보안 위험과 이를 완화하기 위한 효과적인 프로세스, 절차 및 통제 방안의 목록을 관리합니다. 또한 OWASP는 10대 API 보안 위험 목록을 제공하여 API 개발 및 유지 관리 관계자를 교육하고 일반적인 API 보안 취약점에 대한 인식을 높입니다.

The OWASP 커뮤니티는 개인과 조직이 프로젝트와 리소스에 기여하도록 장려합니다. 이러한 협업 및 설문 조사 기반 접근 방식을 통해 커뮤니티는 구성원들의 집단 지식과 전문성을 활용하여 포괄적인 최신 리소스를 제공할 수 있습니다.

앱과 API 모두에 공통적으로 존재하는 보안 위험이 있습니다 보안 솔루션을 구현할 때 이러한 위험을 고려해야 합니다. 예를 들면 다음과 같습니다.

취약한 인증/권한 부여 제어
잘못된 구성
비즈니스 로직 악용(크리덴셜 스터핑, 계정 탈취)
서버 측 요청 위조(SSRF).

OWASP 10대 애플리케이션 보안 위험

The OWASP Top 10은 가장 중대한 웹 애플리케이션 보안 위험을 정리한 목록으로 널리 인정받고 있습니다. 이 목록은 개발자, 보안 전문가 및 조직이 중대한 웹 애플리케이션 보안 위험을 식별하고 완화하기 위한 활동의 우선순위를 정할 때 지침으로 활용됩니다.

특정 위험이 OWASP Top 10 목록에 포함되어 있다고 해서 반드시 모든 웹 애플리케이션에서 해당 위험이 널리 발생하거나 심각하다는 의미는 아니며, Top 10은 특정 순서나 우선순위에 따라 나열된 것이 아닙니다.

2021년 OWASP Top 10 웹 애플리케이션 보안 위험은 다음과 같습니다:

취약한 액세스 제어. 액세스 제어 및 권한 부여가 충분히 적용되지 않아 공격자가 허가되지 않은 기능이나 데이터에 접근할 수 있을 때 발생하는 취약점입니다. 애플리케이션이 내부 객체를 직접 참조하는 데 사용되는 사용자 입력을 검증하거나 승인하지 않을 때 발생할 수 있는 안전하지 않은 직접 객체 참조(IDOR)가 원인일 수 있습니다. 또한 애플리케이션이 초기 인증 또는 권한 부여 단계에서만 액세스 제어를 검증하고 이후 애플리케이션의 기능이나 작업 전반에 걸쳐 해당 제어를 일관되게 적용하지 않는 경우, 기능 수준 액세스 제어 누락으로 인해 발생할 수도 있습니다. 웹 애플리케이션 방화벽(WAF)은 액세스 제어를 모니터링하고 적용하여 민감한 객체나 리소스에 대한 무단 접근을 차단함으로써 이러한 공격을 방어하는 데 도움이 될 수 있습니다.
암호화 실패. 이 위험은 전송 중이거나 저장된 민감한 데이터가 충분히 보호되지 않을 때 발생합니다. 암호화 실패는 데이터 유출, 기밀 정보에 대한 무단 액세스, EU 일반 데이터 보호 규정(GDPR)과 같은 데이터 개인정보 보호 규정 및 PCI 데이터 보안 표준(PCI DSS)과 같은 금융 표준 미준수로 이어질 수 있습니다. 이러한 실패는 안전하지 않은 암호화 저장 방식, 평문 데이터 저장 또는 안전하지 않은 키 관리로 인해 발생할 수 있습니다. 또한 취약한 키 또는 난수 생성이나 암호화 프로토콜의 결함에서 비롯되는 정보 유출로 인해 이러한 위험이 발생할 수도 있습니다.
인젝션 공격. 인젝션 취약점은 공격자가 신뢰할 수 없거나 악의적인 데이터를 명령어나 쿼리 언어에 삽입하거나, 애플리케이션이 사용자가 제공한 데이터를 검증, 필터링 또는 정제하지 않아 악성 명령이 의도치 않게 실행될 때 발생합니다. 이 위험 범주에는 NoSQL, OS 명령어, LDAP 및 SQL 인젝션 공격, 그리고 크로스 사이트 스크립팅(XSS)이 포함됩니다. 크로스 사이트 스크립팅에서는 공격자가 JavaScript와 같은 악성 클라이언트 측 스크립트를 다른 사용자가 보는 웹 페이지에 삽입합니다. 이로 인해 로그인 자격 증명, 개인 데이터 또는 세션 쿠키와 같은 민감한 정보가 탈취될 수 있습니다. WAF는 들어오는 요청을 검사하고 필터링하여 반사형(비영구형), 저장형(영구형), 문서 객체 모델(DOM) 기반 XSS를 비롯한 악성 코드 인젝션 시도를 탐지하고 차단함으로써 이러한 시도가 애플리케이션에 도달하지 못하도록 할 수 있습니다.
안전하지 않은 설계. 이는 보안 제어의 부재 또는 비효율성과 아키텍처 결함으로 나타나는 다양한 취약점을 포괄하는 광범위한 범주입니다. 이러한 결함은 애플리케이션이 본질적으로 안전하지 않은 프로세스에 의존하도록 설계되거나, 특정 공격을 방어하는 데 필요한 보안 제어가 구현되지 않았을 때 발생할 수 있습니다. 위협 모델링, 보안 설계 패턴 및 참조 아키텍처를 더 적극적으로 활용하면 이러한 위험을 줄일 수 있습니다.
보안 구성 오류. 웹 애플리케이션 프레임워크, 플랫폼, 서버 또는 보안 제어에 대한 보안 강화가 부족하면 무단 액세스, 민감한 정보 노출 또는 기타 보안 취약점이 발생할 수 있습니다. 클라우드 서비스의 권한이 잘못 구성되거나 사용하지 않는 포트, 서비스, 계정 또는 권한과 같은 불필요한 기능이 설치 또는 활성화된 경우에도 보안 구성 오류로 인한 위험이 발생할 수 있습니다. 주요 클라우드 제공업체마다 기본 보안 태세가 다르고 아키텍처가 점차 탈중앙화되어 멀티 클라우드 환경 전반에 분산되고 있으므로, 웹 앱과 API 모두에서 구성 오류는 중대한 위험 요소입니다.
취약하거나 오래된 구성 요소. 라이브러리, 프레임워크, 플러그인 등 오래되었거나 패치되지 않았거나 취약한 구성 요소를 사용하면 애플리케이션이 알려진 보안 결함에 노출되어 악용 위험이 커질 수 있습니다. 이러한 위험은 운영 체제(OS), 웹/애플리케이션 서버, 데이터베이스 관리 시스템(DBMS), 애플리케이션, API를 비롯한 모든 구성 요소, 런타임 환경 및 라이브러리 등 지원이 종료되었거나 오래된 소프트웨어로 인해 발생할 수 있습니다. 조직이 시스템의 기반 플랫폼, 프레임워크 및 종속성을 수정하거나 업그레이드하기 위한 시의적절한 위험 기반 조치를 마련하지 않으면 시스템이 알려진 위험에 며칠 또는 몇 주 동안 불필요하게 노출될 수 있으므로 이러한 위협은 특히 위험합니다. 복잡한 소프트웨어 공급망과 CI/CD 파이프라인을 통한 자동화는 취약한 소프트웨어가 IT 스택에 유입될 위험을 높입니다. WAF는 취약점 악용을 방지하기 위한 중요한 임시 보호 수단으로 활용될 수 있습니다.
식별 및 인증 실패. 인증, ID 및 세션 관리의 취약점으로 인해 공격자가 사용자 계정, 비밀번호 또는 세션 토큰을 탈취하거나 안전하지 않은 세션 처리를 악용할 수 있습니다. 이러한 영역의 결함은 크리덴셜 스터핑과 같은 자동화된 공격을 허용할 수 있습니다. 많은 사용자가 비밀번호를 재사용하거나 기본 비밀번호, 취약한 비밀번호 또는 널리 알려진 비밀번호를 사용하기 때문에 비밀번호 관련 취약점이 이러한 위험의 가장 흔한 원인입니다. 특히 로그아웃하거나 일정 시간 동안 활동이 없을 때 사용자 세션 또는 인증 토큰이 적절히 무효화되지 않으면 세션 관리 문제로 인해 인증 관련 공격이 발생할 수도 있습니다. OWASP Top 10, API Security Top 10 및 Automated Threats 프로젝트에 자세히 설명된 것처럼, 인증 제어를 우회하는 공격은 웹 앱과 API 모두에서 점점 더 큰 위험이 되고 있습니다.
소프트웨어 및 데이터 무결성 오류. 이러한 취약점은 애플리케이션 코드와 인프라가 데이터 및 소프트웨어의 무결성 침해를 방지하지 못할 때 발생합니다. 애플리케이션이 신뢰할 수 없는 출처, 리포지토리 및 CDN의 플러그인, 라이브러리 또는 모듈에 의존하는 경우 이러한 문제가 발생할 수 있습니다. 검증되지 않은 소프트웨어 업데이트, 민감한 데이터 수정 및 CI/CD 파이프라인 변경 과정에서도 발생할 수 있습니다. 공격자는 자체 업데이트를 업로드하여 모든 설치 환경에 배포하고 실행되도록 할 수 있습니다. 애플리케이션이 신뢰할 수 없는 직렬화 데이터를 가져와 유효성을 확인하지 않은 채 사용하는 안전하지 않은 역직렬화 역시 이 위험 범주에 속하며, 원격 코드 실행(RCE) 및 권한 상승과 같은 공격을 가능하게 합니다.
보안 로깅 및 모니터링 실패. 불충분한 로깅 및 모니터링은 보안 사고를 적시에 탐지하고 대응하는 데 방해가 되어 공격이나 무단 활동을 식별하고 완화하기 어렵게 만들 수 있습니다. 이는 로그인, 로그인 실패, 고액 거래와 같이 감사가 필요한 이벤트가 식별되거나 기록되지 않고, 애플리케이션이 진행 중인 공격을 실시간으로 탐지하지 못하는 상황을 의미할 수 있습니다.
서버 측 요청 위조(SSRF). 이러한 취약점은 애플리케이션이 원격 리소스에서 데이터를 가져오기 전에 사용자가 입력한 URL을 검증하거나 정제하지 않을 때 발생합니다. 공격자는 이러한 결함을 악용하여 방화벽이나 기타 방어 수단으로 보호되는 애플리케이션도 악성 웹 대상에 강제로 접근하도록 만들 수 있습니다. 또한 대상 리소스가 클라우드 메타데이터 서비스나 백엔드 API와 같은 다른 시스템과 신뢰 관계를 맺고 있는 경우에도 이러한 공격이 발생할 수 있습니다. 공격자는 이를 통해 해당 신뢰 서비스에 요청을 보내 민감한 정보를 빼내거나 무단 작업을 수행할 수 있습니다. SSRF를 완화하려면 최소 권한 원칙에 따라 시스템을 설계하고 WAF를 사용하여 보안 정책에 URI(Uniform Resource Identifier) 매개변수를 명시적으로 정의하고 해당 매개변수에 접근할 수 있는 호스트를 허용하거나 차단하세요.

2021년 OWASP Top 10에는 이전 새로운 범주 및 명칭 변경 사항2017년 OWASP Top 10과 비교해 몇 가지 변경 사항이 반영되었습니다. 이러한 변경 사항에는 2017년 위험 요소인 XML 외부 개체(XXE)를 2021년 보안 구성 오류 범주에 통합하고, 2017년 교차 사이트 스크립팅(XSS)을 2021년 인젝션 범주에 추가한 것이 포함됩니다. 2017년 위험 요소인 안전하지 않은 역직렬화는 이제 2021년 소프트웨어 및 데이터 무결성 오류 범주에 포함됩니다.

기타 OWASP 발행물

OWASP는 현재 293개의 프로젝트를 후원하고 있으며, 여기에는 OWASP와 애플리케이션 보안 전반에 전략적 가치를 제공하는 다음 16개의 OWASP 대표 프로젝트가 포함됩니다.

OWASP Amass 프로젝트, 오픈 소스 정보 수집 및 능동적 정찰 기법을 활용하여 정보 보안 전문가가 공격 표면의 네트워크를 매핑하고 외부 자산을 탐색할 수 있도록 지원하는 도구를 개발했습니다.
OWASP 애플리케이션 보안 검증 표준 프로젝트(ASVS), 웹 애플리케이션의 기술적 보안 통제를 테스트하기 위한 기준을 제공하며, 개발자에게 안전한 개발을 위한 요구 사항 목록도 제공합니다.
OWASP 치트 시트 시리즈, 애플리케이션 개발자와 보안 담당자에게 쉽게 따라 할 수 있는 모범 사례 가이드 모음을 제공하기 위해 만들어졌습니다. 많은 개발자와 애플리케이션에 적용하기 어려운 세부적인 모범 사례에 초점을 맞추기보다는, 대다수의 개발자가 실제로 구현할 수 있는 모범 사례를 제공하는 것을 목표로 합니다.
OWASP CycloneDX, 사이버 위험을 줄이기 위한 고급 공급망 기능을 제공하는 풀스택 자재 명세서(BOM) 표준입니다.
OWASP Defectdojo, 템플릿, 보고서 생성, 메트릭 및 기본 셀프서비스 도구를 제공하여 테스트 프로세스를 간소화하는 오픈 소스 취약점 관리 도구입니다.
OWASP Dependency-Check, 프로젝트의 종속성에 포함된 공개적으로 알려진 취약점을 탐지하는 소프트웨어 구성 분석(SCA) 도구입니다. 이 도구는 특정 종속성에 공통 플랫폼 열거(CPE) 식별자가 있는지 확인합니다. 식별자가 발견되면 관련 공통 취약점 및 노출(CVE) 항목으로 연결되는 보고서를 생성합니다.
OWASP Dependency-Track, 조직이 소프트웨어 공급망의 위험을 식별하고 줄일 수 있도록 지원하는 지능형 구성 요소 분석 플랫폼입니다.
OWASP Juice Shop, 보안 교육, 인식 제고 데모, 캡처 더 플래그(CTF) 대회 및 보안 도구의 시험 대상으로 사용되는, 아마도 가장 현대적이고 정교한 취약 웹 애플리케이션입니다. Juice Shop에는 OWASP Top Ten 전체의 취약점뿐만 아니라 실제 애플리케이션에서 발견되는 다양한 보안 결함도 포함되어 있습니다.
OWASP 모바일 애플리케이션 보안, 모바일 앱을 위한 보안 표준을 제공하는 OWASP의 대표 프로젝트입니다. 또한 모바일 앱 보안 테스트에 사용되는 프로세스, 기법 및 도구를 다루는 종합적인 테스트 가이드와, 테스터가 일관되고 완전한 결과를 도출할 수 있도록 지원하는 포괄적인 테스트 사례 모음도 포함되어 있습니다.
OWASP ModSecurity 핵심 규칙 세트, ModSecurity 또는 호환되는 웹 애플리케이션 방화벽에서 사용할 수 있는 범용 공격 탐지 규칙 모음입니다. CRS는 오탐을 최소화하면서 OWASP 10대 보안 위험을 비롯한 광범위한 공격으로부터 웹 애플리케이션을 보호하는 것을 목표로 합니다.
OWASP 프로젝트 OWTF(공격적 웹 테스트 프레임워크)는 웹 애플리케이션의 보안을 평가하고 테스트하도록 설계된 오픈 소스 웹 애플리케이션 침투 테스트 프레임워크입니다. OWTF의 주요 목표는 보안 전문가와 침투 테스터가 웹 애플리케이션의 취약점을 평가하고 테스트하는 프로세스를 자동화하여 보안 취약점을 더욱 효과적으로 식별하고 해결할 수 있도록 지원하는 것입니다.
OWASP SAMM(소프트웨어 보증 성숙도 모델)은 안전한 개발 수명 주기 모델링을 분석하고 개선할 수 있는 효과적이고 측정 가능한 방법을 제공합니다. SAMM은 전체 소프트웨어 수명 주기를 지원하며 특정 기술이나 프로세스에 종속되지 않습니다.
OWASP Security Knowledge Framework, 여러 프로그래밍 언어의 안전한 코딩 원칙을 설명하고 개발자가 설계 단계부터 안전한 애플리케이션을 구축할 수 있도록 지원하는 웹 애플리케이션입니다.
OWASP Security Shepherd,는 다양한 기술 수준의 사용자를 대상으로 보안 인식을 함양하고 향상하기 위해 설계된 웹 및 모바일 애플리케이션 보안 교육 플랫폼입니다. 이 프로젝트의 목표는 AppSec 초보자와 숙련된 엔지니어 모두의 침투 테스트 역량을 보안 전문가 수준으로 끌어올리는 것입니다.
OWASP 웹 보안 테스트 가이드는 웹 애플리케이션과 웹 서비스의 보안을 테스트하기 위한 종합 안내서입니다. 전 세계의 침투 테스터와 조직에서 활용하는 모범 사례 프레임워크를 제공합니다.
OWASP ZAP, 보안 전문가와 개발자가 개발 및 테스트 단계에서 웹 애플리케이션의 보안 취약점을 식별하고 완화할 수 있도록 설계된 웹 애플리케이션 보안 테스트 도구입니다.

통합 보안 제어가 필요한 이유

OWASP는 웹 애플리케이션 보안 위험에 대한 인식을 높이고 개발자, 보안 전문가 및 조직에 모범 사례를 권장함으로써 소프트웨어 보안을 개선하려는 지속적인 노력에서 핵심적인 역할을 합니다. 커뮤니티 주도 프로젝트인 OWASP는 전문가와 관심 있는 사람들이 함께 웹 애플리케이션 보안을 개선하도록 지원하며, 안전한 코딩 관행과 보안 개발 방법론을 장려하는 보안 중심 문화를 조성하는 데 기여합니다.

또한 OWASP는 조직이 보안 태세를 강화할 수 있도록 OWASP Top 10, OWASP API Security Top 10, Automated Threats to Web Applications Project를 비롯한 다양한 무료 오픈 소스 도구, 문서 및 리소스를 제공합니다. 그 밖의 OWASP 이니셔티브는 다음과 같습니다.

OWASP 버그 로깅 도구(BLT)는 인터넷 사용자가 온라인에서 발견한 문제를 신고할 수 있도록 지원하며, 책임 있는 공개를 장려하고 더욱 안전한 온라인 환경을 조성함으로써 인터넷 보안 개선에 기여합니다.
OWASP CSRFGuard는 웹 애플리케이션을 크로스 사이트 요청 위조(CSRF) 공격으로부터 보호하는 라이브러리입니다.
다수의 GitHub 리포지토리(그중에는 특정 애플리케이션 보안 주제에 관한 유용한 핵심 정보를 간결하게 모아 제공하는 Cheat Sheet Series,도 포함됩니다).
OWASP 클라이언트 측 보안 위험 Top 10, 브라우저 측 애플리케이션에서 흔히 발생하는 특정 취약점을 정리한 목록입니다.
OWASP 클라우드 네이티브 애플리케이션 보안 10대 위험, 아직 개발 중인 프로젝트로, 클라우드 네이티브 애플리케이션의 주요 보안 위험과 관련 과제, 그리고 이를 극복하는 방법에 대한 정보를 제공할 예정입니다.

OWASP 활동에 참여하려면 OWASP 회원으로 가입하거나 지역 지부 모임에 참석해 보세요. 지역 지부 모임은 무료이며 회원과 비회원 모두에게 열려 있습니다. 또한 OWASP는 매년 약 12개의 글로벌 및 지역 행사를 개최합니다. 이러한 행사는 직무 역량을 향상하고, 전문 인맥을 넓으며, 업계의 새로운 동향을 배울 수 있는 좋은 기회입니다.

F5, OWASP 보안 위험에 대응

F5는 소프트웨어 보안을 개선하고 웹 애플리케이션 보안 위험 및 취약점에 대한 인식을 높이기 위해 헌신하는 OWASP Foundation을 지원합니다. F5 Web Application Firewall 솔루션은 OWASP Top 10에서 비롯되는 광범위한 위험을 차단하고 완화합니다.

F5 WAF 솔루션은 시그니처 및 행동 기반 보호 기능과 F5 Labs의 위협 인텔리전스 및 ML 기반 보안을 결합하여 새롭게 등장하는 위협에 대응합니다. 중앙 집중식 SaaS 인프라를 통해 관리를 간소화하는 동시에 클라우드, 온프레미스 및 엣지 환경 전반에서 애플리케이션을 일관되게 보호하는 데 따르는 부담과 복잡성을 줄여 줍니다. 또한 F5 WAF는 핵심 보안 기능, 중앙 집중식 오케스트레이션, 그리고 분산된 애플리케이션 전반의 앱 성능 및 보안 이벤트를 360도로 파악할 수 있는 단일 대시보드를 통한 모니터링을 개발 프레임워크와 CI/CD 파이프라인에 통합하여 앱 보안을 간소화합니다.

F5는 또한 OWASP API 보안 10대 위험에서 식별된 위험에 대응하기 위해, 확대되는 공격 표면과 새롭게 등장하는 위협으로부터 보호하는 솔루션을 제공합니다. 이는 앱이 발전하고 API 배포가 증가하는 상황에 효과적으로 대응합니다. F5 웹 애플리케이션 및 API 보호(WAAP) 솔루션은 WAF, API 보안, L3~L7 DDoS 완화, 자동화된 위협 및 사기에 대한 봇 방어를 포함한 포괄적인 보호 기능으로 최신 앱의 전체 공격 표면을 방어합니다. 분산형 플랫폼을 통해 일관된 정책을 손쉽게 배포하고, 전체 앱 및 API 환경이 어디에 호스팅되어 있든 보안을 확장하며, API 수명 주기와 더 광범위한 에코시스템에 보안을 통합할 수 있습니다.

F5는 또한 OWASP의 웹 애플리케이션 자동화 위협 프로젝트 F5 Distributed Cloud Bot Defense에 명시된 위험을 해결하기 위한 솔루션을 제공합니다. 이 솔루션은 기존 봇 관리 솔루션을 우회할 수 있는 사기 및 악용을 방지하고, 실시간 모니터링과 인텔리전스는 물론 머신 러닝 기반의 회고 분석을 제공하여 사용자에게 불편을 초래하거나 고객 경험을 저해하지 않으면서 자동화된 공격으로부터 조직을 보호합니다. Distributed Cloud Bot Defense는 공격자가 수법을 어떻게 바꾸든, 공격 대상을 웹 앱에서 API로 전환하든, 텔레메트리를 스푸핑하거나 사람 CAPTCHA 풀이 서비스를 이용해 자동화 방지 체계를 우회하려 하든 관계없이 효과를 유지합니다.

F5는 또한 고급 온라인 보안을 위한 관리형 클라우드 제공 완화 서비스로서 다계층 DDoS 보호를 제공합니다. 이 서비스는 대규모 네트워크, 프로토콜 및 애플리케이션 대상 공격을 실시간으로 탐지하고 완화하며, 동일한 보호 기능을 온프레미스 하드웨어, 소프트웨어 및 하이브리드 솔루션으로도 이용할 수 있습니다. F5 Distributed Cloud DDoS Mitigation은 볼류메트릭 공격, 애플리케이션별 레이어 3~4 공격 및 지능형 레이어 7 공격이 네트워크 인프라와 애플리케이션에 도달하기 전에 방어합니다.

F5 ADSP 플랫폼 구성 요소가 OWASP 보안 위험으로부터 보호하는 방법에 대한 자세한 내용은 다음 자료를 참조하세요: