OWASP Top 10 2025 교육 과정

A01:2025 - 부roken 액세스 제어(Access Control)
A02:2025 - 보안 오류 설정(Security Misconfiguration)
A03:2025 - 소프트웨어 공급망 실패(Software Supply Chain Failures)
A04:2025 - 암호화 실패(Cryptographic Failures)
A05:2025 - 인젝션(Injection)
A06:2025 - 불안전한 설계(Insecure Design)
A07:2025 - 인증 실패(Authentication Failures)
A08:2025 - 소프트웨어 또는 데이터 무결성 실패(Software or Data Integrity Failures)
A09:2025 - 보안 로깅 및 경고 실패(Security Logging and Alerting Failures)
A10:2025 - 예외 조건 처리 오류(Mishandling of Exceptional Conditions)

A01:2025 Broken Access Control - 액세스 제어는 사용자가 의도된 권한 범위 밖의 행동을 하지 못하도록 정책을 시행합니다. 이는 주로 무단 정보 유출, 모든 데이터의 수정 또는 파괴, 또는 사용자 권한 범위를 초과한 비즈니스 기능 수행으로 이어지는 실패를 의미합니다.

A02:2025 Security Misconfiguration - 보안 오류 설정은 시스템, 애플리케이션 또는 클라우드 서비스가 보안 관점에서 잘못 설정되어 취약점이 생성되는 상태입니다.

A03:2025 Software Supply Chain Failures - 소프트웨어 공급망 실패는 소프트웨어의 구축, 배포 또는 업데이트 과정에서 발생하는 붕괴나 기타 침해입니다. 이는 시스템이 의존하는 서드파티 코드, 도구 또는 기타 의존성에 존재하는 취약점이나 악성 변경으로 인해 발생하는 경우가 많습니다.

A04:2025 Cryptographic Failures - 일반적으로 전송 중인 모든 데이터는 전송 계층(OSI 4계층)에서 암호화되어야 합니다. 과거 CPU 성능 및 개인 키/서명 관리와 같은 장애물은 이제 암호화 가속(AES 지원 등)을 위한 지시문이 내장된 CPU 및 LetsEncrypt.org와 같은 서비스를 통한 개인 키/서명 관리의 단순화, 그리고 주요 클라우드 벤더들이 플랫폼에 맞게 더 긴밀하게 통합된 서명 관리 서비스를 제공함으로써 처리되고 있습니다. 전송 계층 보안 외에도, 어떤 데이터가 저장 시 암호화가 필요하며 어떤 데이터가 전송 중(애플리케이션 계층, OSI 7계층) 추가 암호화가 필요한지 결정하는 것이 중요합니다. 예를 들어, 비밀번호, 신용카드 번호, 건강 기록, 개인정보 및 비즈니스 비밀은 추가적인 보호가 필요하며, 특히 EU의 일반 데이터 보호 규정(GDPR)이나 PCI 데이터 보안 표준(PCI DSS)과 같은 개인정보 보호 법규나 규정에 해당되는 경우 더욱 그렇습니다.

A05:2025 Injection - 인젝션 취약점은 공격자가 프로그램의 입력 필드에 악성 코드나 명령어(SQL 또는 셸 코드 등)를 삽입하여, 시스템이 이를 시스템의 일부인 것처럼 실행하도록 속이는 시스템 결함입니다. 이는 매우 심각한 결과로 이어질 수 있습니다.

A06:2025 Insecure Design - 불안전한 설계는 '부재하거나 비효율적인 제어 설계'로 표현되는 다양한 약점을 포괄하는 넓은 범주입니다. 불안전한 설계는 Top Ten의 다른 모든 위험 범주의 원인이 되는 것은 아닙니다. 불안전한 설계와 불안전한 구현(Implementation) 사이에는 차이가 있으며, 근본 원인, 개발 과정에서 발생하는 시점, 및 조치 방법이 다르기 때문에 이를 구분하는 것입니다. 안전한 설계에도 구현 결함으로 인해 악용될 수 있는 취약점이 발생할 수 있습니다. 반면, 불안전한 설계는 완벽한 구현으로도 수정할 수 없으며, 이는 특정 공격에 대해 방어하기 위한 필요한 보안 제어가 애초에 생성되지 않았기 때문입니다. 불안전한 설계를 초래하는 요인 중 하나는 개발 중인 소프트웨어 또는 시스템에 내재된 비즈니스 위험 프로파일링의 부재로 인해, 요구되는 수준의 보안 설계를 결정하지 못하는 것입니다.

A07:2025 Authentication Failures - 공격자가 시스템에 유효하지 않거나 잘못된 사용자를 적법한 사용자로 인식하도록 속일 수 있을 때, 이러한 취약점이 존재합니다.

A08:2025 Software or Data Integrity Failures - 소프트웨어 및 데이터 무결성 실패는 유효하지 않거나 신뢰할 수 없는 코드나 데이터가 신뢰하고 유효한 것으로 처리되지 않도록 보호하지 못하는 코드 및 인프라와 관련됩니다. 이는 애플리케이션이 신뢰할 수 없는 소스, 저장소, 콘텐츠 전달 네트워크(CDN)로부터의 플러그인, 라이브러리 또는 모듈에 의존하는 경우의 예시입니다. 소프트웨어 무결성 검사를 소비 및 제공하지 않는 불안전한 CI/CD 파이프라인은 무단 접근, 불안전하거나 악성 코드, 또는 시스템 침해의 가능성을 초래할 수 있습니다. 또한 CI/CD가 신뢰할 수 없는 곳에서 코드 또는 아티팩트를 가져오거나, 사용 전에(서명 확인 또는 유사한 메커니즘을 통해) 이를 검증하지 않는 경우도 해당되는 예시입니다.

A09:2025 Security Logging & Alerting Failures - 로깅과 모니터링이 없으면 공격과 침입을 감지할 수 없으며, 경고가 없으면 보안 사고 발생 시 빠르고 효과적으로 대응하기 매우 어렵습니다. 활성 응답을 시작하기 위한 로깅, 지속적인 모니터링, 감지 및 경고가 불충분한 경우 이는 언제든지 발생할 수 있습니다.

A10:2025 Mishandling of Exceptional Conditions - 소프트웨어에서 예외 조건 처리 오류는 프로그램이 비정상적이고 예측 불가능한 상황을 방지, 감지 및 대응하지 못할 때 발생하며, 이는 크래시, 예상치 못한 동작, 그리고 때로는 취약점으로 이어집니다. 이는 다음 3가지 실패 중 하나 이상을 포함할 수 있습니다. 애플리케이션이 비정상적인 상황의 발생을 방지하지 못하거나, 상황이 발생하는 동안 이를 식별하지 못하거나, 이후 해당 상황에 대해 부적절하게 또는 전혀 대응하지 못하는 것입니다.

다음 항목들의 실무적인 측면을 논의하고 제시할 것입니다:

부roken 액세스 제어(Broken Access Control)
- 부roken 액세스 제어의 실무적 예시
- 안전한 액세스 제어 및 모범 사례

보안 오류 설정(Security Misconfiguration)
- 오류 설정의 실제 사례
- 설정 관리 및 자동화 도구를 포함하여 오류 설정을 방지하는 단계

암호화 실패(Cryptographic Failures)
- 약한 암호화 알고리즘 또는 부적절한 키 관리와 같은 암호화 실패에 대한 상세 분석
- 웹 보안에서 강력한 암호화 메커니즘, 안전한 프로토콜(SSL/TLS)의 중요性及 및 최신 암호화의 예시

인젝션 공격(Injection Attacks)
- SQL, NoSQL, OS, LDAP 인젝션에 대한 상세 분석
- 준비된 문구, 매개변수화 쿼리, 입력 이스케이프를 사용한 완화 기술

불안전한 설계(Insecure Design)
- 취약점으로 이어질 수 있는 설계 결함(예: 부적절한 입력 검증) 탐구
- 안전한 아키텍처 및 보안 설계 원칙 연구

인증 실패(Authentication Failures)
- 일반적인 인증 문제
- 다중 인증(MFA) 및 적절한 세션 처리와 같은 안전한 인증 전략

소프트웨어 및 데이터 무결성 실패(Software and Data Integrity Failures)
- 신뢰할 수 없는 소프트웨어 업데이트 및 데이터 위조와 같은 문제점 집중
- 안전한 업데이트 메커니즘 및 데이터 무결성 검사

보안 로깅 및 모니터링 실패(Security Logging and Monitoring Failures)
- 보안 관련 정보 로깅 및 의심스러운 활동 모니터링의 중요성
- 침입을 조기에 감지하기 위한 적절한 로깅 및 실시간 모니터링을 위한 도구 및 관행