보안 코드 작성법 교육 과정

현재 .NET 및 ASP.NET 프레임워크용 코드를 작성할 수 있는 다양한 프로그래밍 언어들이 존재합니다. 이 환경은 보안 중심의 개발을 위한 강력한 도구들을 제공하지만, 개발자는 원하는 보안 기능을 구현하고 취약점 발생을 방지하거나 그 위협을 최소화하기 위해 아키텍처적·코딩 측면의 기법들을 숙지해야 합니다.

본 과정은 실습 중심의 다양한 연습문제를 통해 개발자들이 신뢰할 수 없는 코드가 권한이 있는 작업을 수행하지 못하도록 막는 방법, 강력한 인증 및 권한 부여 기법으로 자원 보호하는 법, 원격 프로시저 호출 처리 방식, 세션 관리 방법, 그리고 특정 기능 구현을 위한 다양한 접근법 등을 배우게 됩니다.

다양한 취약점에 대한 설명은 .NET 사용 시 발생하기 쉬운 일반적인 프로그래밍 오류부터 시작하며, ASP.NET 관련 취약점 분석에서는 환경 설정과 그에 따른 영향을 함께 다룹니다. 마지막으로 ASP.NET 특유의 취약점 부분에서는 일반적인 웹 애플리케이션 보안 문제뿐만 아니라 ViewState 공격이나 문자열 종료 공격과 같은 특수한 위협 요소도 상세히 설명합니다.

이 과정에 참여하는 학습자들은

• 보안, IT 보안 및 안전한 코딩의 기본 개념을 이해하게 됩니다
• OWASP Top Ten 외에도 다양한 웹 취약점과 이를 방지하는 방법을 학습합니다
• .NET 개발 환경에서 제공되는 다양한 보안 기능 사용법을 익힙니다
• 보안 테스트 도구 활용에 대한 실무 지식을 얻게 됩니다
• 일반적인 코딩 오류와 이를 예방하는 방식을 학습합니다
• .NET 및 ASP.NET에서 최근 발생한 주요 취약점 정보를 습득하게 됩니다
• 안전한 코딩 관행에 관련된 자료와 추가 읽기 자료들을 접할 수 있습니다

수강 대상

개발자들

본 과정은 PHP 개발자가 인터넷을 통한 현대적인 공격으로부터 애플리케이션을 방어하기 위해 필수적인 기술을 제공합니다. 웹 취약점은 OWASP 상위 10위 항목을 넘어 다양한 인젝션 공격, 스크립트 인젝션, PHP 세션 처리에 대한 공격, 비정상적 직접 객체 참조, 파일 업로드 문제 등 PHP 기반 예제를 통해 다룹니다. PHP 관련 취약점은 부족하거나 부적절한 입력 검증, 잘못된 오류 및 예외 처리, 보안 기능의 부적절 사용, 시간 및 상태 관련 문제로 분류하여 소개합니다. 후자의 경우 오픈_basedir 우회, 매직 부동소수점(d_magic float)을 통한 서비스 거부 공격, 해시 테이블 충돌 공격 등 구체적인 공격 기법을 논의합니다. 모든 경우에 참여자들은 나열된 위험을 완화하기 위해 사용해야 할 가장 중요한 기술과 함수에 익숙해집니다.

클라이언트 측 보안(JavaScript, Ajax, HTML5의 보안 문제 해결)에도 특별한 중점을 둡니다. 해시(hash), mcrypt, OpenSSL(암호화에 사용), Ctype, ext/filter 및 HTML Purifier(입력 검증에 사용) 등 PHP를 위한 여러 보안 관련 확장 기능을 소개합니다. 가장 효과적인 하드닝(hardening) 관행은 PHP 설정(php.ini 구성), Apache 및 서버 전반과 관련하여 다룹니다. 마지막으로 보안 스캐너, 침투 테스트 및 익스플로잇 팩(exploit packs), 스니퍼(sniffers), 프록시 서버, 펌핑(fuzzing) 도구 및 정적 소스 코드 분석기를 포함하여 개발자와 테스터가 활용할 수 있는 다양한 보안 테스트 도구와 기법에 대한 개요를 제공합니다.

취약점 소개 및 구성 관행은 성공적인 공격의 결과를 시연하고 완화 기술을 적용하는 방법, 그리고 여러 확장 기능과 도구의 사용법을 보여주는 실무 연습을 통해 지원됩니다.

이 과정에 참석하는 참가자들은

• 보안, IT 보안 및 안전한 코드의 기본 개념을 이해합니다.
• OWASP Top Ten을 넘어선 웹 취약점을 학습하고 이를 피하는 방법을 습득합니다.
• 클라이언트 측 취약점과 안전한 코드 작성 관행을 학습합니다.
• 암호화에 대한 실용적인 이해를 갖게 됩니다.
• PHP의 다양한 보안 기능을 사용하는 법을 배웁니다.
• 일반적인 코딩 실수와 이를 피하는 방법을 학습합니다.
• PHP 프레임워크의 최근 취약점에 대해 정보를 얻습니다.
• 보안 테스트 도구 사용에 대한 실무 지식을 습득합니다.
• 안전한 코드 작성 관행에 대한 자료와 추가 참고 문헌을 제공합니다.

대상

개발자

대한민국에서 진행되는 본 강좌를 통해 참가자들은 데브옵스 보안 문제에 대응하기 위한 적절한 전략 수립 방법을 익히게 됩니다.

이 수준 높고 혁신적이며 실무 중심적인 워크숍은 참가자들에게 현대적인 CI/CD 파이프라인 보안의 중요한 측면들을 체험하게 해줍니다. 보안 전문가, DevOps 엔지니어 및 고급 침해 방지 기법을 마스터하고자 하는 개발자들을 대상으로 설계되었으며, 실제 공격 시뮬레이션과 업계 최고의 도구들, 그리고 실질적인 보안 전략이 결합된 교육 프로그램입니다.

최신 OWASP GenAI 보안 프로젝트 가이드라인에 기반하여, 참여자는 실제 사례와 실습 활동을 통해 AI 고유의 위협을 식별, 평가 및 완화하는 방법을 학습합니다.

이 강사 주도형 실시간 교육 과정은 대한민국 (온라인 또는 오프라인)에서 진행되며, OWASP Top 10 표준 기준을 적용해 웹 애플리케이션 보안을 확보하고자 하는 웹 개발자와 리더들을 대상으로 합니다.

교육이 끝날 무렵 참가자들은 OWASP Top 10 문서를 기반으로 자신의 웹 애플리케이션 및 서비스에 대한 전략 설정, 구현, 보안 강화 및 모니터링을 수행할 능력을 갖추게 됩니다.

이 강사 주도형 실습 중심의 교육 과정은 대한민국 (온라인 또는 현장)에서 진행되며, 웹 애플리케이션 및 서비스 보안을 위해 WSTG 프레임워크와 원칙, 기법들을 적용하고자 하는 개발자, 엔지니어, 아키텍트를 대상으로 합니다.

교육이 종료되면 참가자들은 다음과 같은 역량을 갖추게 됩니다:

• 웹 애플리케이션 개발 생명주기 내에서 WSTG를 활용해 테스트 프로세스와 기법들을 구현할 수 있습니다.
• 비즈니스 요구사항에 맞게 WSTG 프레임워크를 커스터마이징하기 위한 다양한 테스트 기법을 탐색할 수 있습니다.
• 다양한 보안 테스트 방법을 실행하여 웹 애플리케이션을 각종 위험 및 공격으로부터 보호할 수 있습니다.
• 보안 테스트 결과와 발견된 문제들을 기록하기 위한 평가 보고서를 작성할 수 있습니다.