OWASP란 무엇인가요? OWASP 상위 10개 취약점 및 위험 소개

OWASP Top 10은 가장 심각한 웹 애플리케이션 보안 위험을 나열한 널리 알려진 목록입니다. 이 목록은 개발자, 보안 전문가 및 조직이 중요한 웹 애플리케이션 보안 위험을 식별하고 완화하기 위해 노력의 우선 순위를 정하는 데 도움이 되는 가이드입니다. 

OWASP 상위 10대 위험 목록 에 포함되어 있다고 해서 반드시 모든 웹 애플리케이션에 널리 퍼져 있거나 심각하다는 것을 나타내는 것은 아니며, 상위 10대 위험은 특정 순서나 우선 순위에 따라 순위가 매겨지지 않았습니다.  

2021년 OWASP Top 10 웹 애플리케이션 보안 위험은 다음과 같습니다.

1. 접근 제어가 손상되었습니다. 이러한 취약점은 액세스 제어 및 권한 부여가 제대로 시행되지 않아 공격자가 승인되지 않은 기능이나 데이터에 액세스할 수 있는 경우에 발생합니다. 이는 내부 객체에 대한 직접 참조로 사용되는 사용자 입력을 애플리케이션이 검증하거나 승인하지 못할 때 발생할 수 있는 안전하지 않은 직접 객체 참조(IDOR)로 인해 발생할 수 있습니다. 또한, 애플리케이션이 초기 인증 또는 권한 부여 단계에서만 액세스 제어를 검증하지만 애플리케이션의 기능이나 작업 전반에 걸쳐 해당 제어를 일관되게 시행하지 않는 경우 기능 수준 액세스 제어가 누락되어 발생할 수도 있습니다. 웹 애플리케이션 방화벽(WAF)은 액세스 제어를 모니터링하고 시행하여 중요한 개체나 리소스에 대한 무단 액세스를 방지함으로써 이러한 공격으로부터 보호하는 데 도움이 될 수 있습니다.

2. 암호화 오류. 이러한 위험은 민감한 데이터가 전송 중이거나 저장 중일 때 이를 제대로 보호하지 못해 발생합니다. 암호화 실패 로 인해 데이터 침해, 기밀 정보에 대한 무단 액세스, EU 일반 데이터 보호 규정(GDPR) 및 PCI 데이터 보안 표준(PCI DSS)과 같은 금융 표준을 준수하지 않는 등의 데이터 개인 정보 보호 규정 위반이 발생할 수 있습니다. 이러한 실패는 안전하지 않은 암호화 저장, 일반 텍스트로 데이터 저장 또는 안전하지 않은 키 관리로 인해 발생할 수 있습니다. 위험은 정보 유출로 인해 발생할 수도 있는데, 정보 유출은 취약한 키 또는 난수 생성 또는 암호화 프로토콜의 결함으로 인해 발생할 수 있습니다. 
3. 주입 공격. 주입 취약점은 공격자가 신뢰할 수 없거나 적대적인 데이터를 명령 또는 쿼리 언어에 삽입하거나, 사용자가 제공한 데이터가 애플리케이션에서 검증, 필터링 또는 정리되지 않을 때 발생하여 의도치 않게 악성 명령이 실행됩니다. 이 위험 범주에는 NoSQL, OS 명령, LDAP, SQL 주입 공격이 포함되며, 공격자가 다른 사용자가 보는 웹 페이지에 JavaScript와 같은 악성 클라이언트 측 스크립트를 삽입하는 크로스 사이트 스크립팅(XSS) 도 포함됩니다 . 이로 인해 로그인 자격 증명, 개인 데이터, 세션 쿠키와 같은 민감한 정보가 도난당할 수 있습니다. WAF는 반사(비영구적), 저장된(영구적), DOM(문서 개체 모듈) 기반 XSS를 포함한 들어오는 요청을 검사하고 필터링하여 악성 코드 삽입 시도를 탐지하고 차단하고 이러한 요청이 애플리케이션에 도달하는 것을 방지하는 데 도움이 될 수 있습니다.
4. 안전하지 않은 디자인. 이는 누락되거나 효과적이지 않은 보안 제어 및 구조적 결함으로 표현되는 다양한 약점을 나타내는 광범위한 범주입니다. 이러한 결함은 애플리케이션이 본질적으로 안전하지 않은 프로세스에 의존하도록 설계되었거나, 특정 공격에 대항하기 위한 필요한 보안 제어가 구현되지 않았을 때 발생할 수 있습니다. 이러한 위험은 위협 모델링, 보안 설계 패턴 및 참조 아키텍처를 더 많이 사용하면 완화할 수 있습니다.  
5. 보안 오류. 웹 애플리케이션 프레임워크, 플랫폼, 서버 또는 보안 제어에서 보안이 강화되지 않으면 무단 액세스, 중요 정보 노출 또는 기타 보안 취약성이 발생할 수 있습니다. 보안 오류로 인한 위험은 클라우드 서비스에 대한 권한이 부적절하게 구성되거나 사용되지 않는 포트, 서비스, 계정, 권한 등 불필요한 기능이 설치되거나 활성화되어 발생할 수도 있습니다. 웹 앱과 API 모두에 대한 잘못된 구성은 주요 클라우드 공급업체가 다양한 기본 보안 태세를 갖추고 있고 아키텍처가 점점 더 분산되고 멀티 클라우드 패브릭 전반에 분산되고 있기 때문에 상당한 위험입니다.    
6. 취약하고 오래된 구성 요소. 라이브러리, 프레임워크, 플러그인 등 오래되거나 패치가 적용되지 않았거나 취약한 구성 요소를 사용하면 애플리케이션이 알려진 보안 결함에 노출되어 악용 위험이 커집니다. 이러한 위험은 운영 체제(OS), 웹/애플리케이션 서버, 데이터베이스 관리 시스템(DBMS), 애플리케이션, API, 모든 구성 요소, 런타임 환경, 라이브러리를 포함한 지원되지 않거나 오래된 소프트웨어로 인해 발생할 수 있습니다. 이러한 위협은 조직이 시스템의 기본 플랫폼, 프레임워크, 종속성을 수정하거나 업그레이드하기 위한 시기적절하고 위험 기반 대책을 마련하지 않아 시스템이 알려진 위험에 불필요하게 수일 또는 수주 동안 노출될 수 있는 경우 특히 위험합니다. 복잡한 소프트웨어 공급망과 CI/CD 파이프라인을 통한 자동화로 인해 취약한 소프트웨어가 IT 스택에 도입될 위험이 커집니다. WAF는 취약점 악용을 방지하는 중요한 임시방편 역할을 할 수 있습니다.  
7. 식별 및 인증 실패. 인증, 신원 및 세션 관리의 취약점을 악용하여 공격자는 사용자 계정, 비밀번호, 세션 토큰을 손상시키거나 안전하지 않은 세션 처리를 악용할 수 있습니다. 이러한 영역에서 오류가 발생하면 자격 증명 채우기 와 같은 자동화된 공격이 허용될 수 있습니다. 비밀번호 관련 취약점은 이러한 위험의 가장 흔한 원천인데, 많은 사람들이 비밀번호를 재사용하거나 기본 비밀번호, 취약한 비밀번호 또는 잘 알려진 비밀번호를 사용하기 때문입니다. 세션 관리 문제는 인증 관련 공격으로 이어질 수도 있는데, 특히 로그아웃이나 비활성 기간 동안 사용자 세션이나 인증 토큰이 적절하게 무효화되지 않을 경우 더욱 그렇습니다. OWASP Top 10, API Security Top 10 및 Automated Threats 프로젝트에 자세히 설명된 대로 인증 제어를 우회하는 공격은 웹 앱과 API 모두에 대한 위험이 증가하고 있습니다.  
8. 소프트웨어 및 데이터 무결성 오류. 이러한 취약점은 데이터 및 소프트웨어 무결성 위반을 방지하지 못하는 애플리케이션 코드와 인프라로 인해 발생합니다. 이는 애플리케이션이 신뢰할 수 없는 출처, 저장소, CDN의 플러그인, 라이브러리 또는 모듈을 사용할 때 발생할 수 있습니다. 또한 소프트웨어 업데이트, 중요한 데이터 수정, 검증되지 않은 CI/CD 파이프라인 변경 중에도 발생할 수 있습니다. 공격자는 잠재적으로 자신의 업데이트를 업로드하여 모든 설치에 배포하고 실행할 수 있습니다. 신뢰할 수 없는 직렬화된 데이터를 가져와서 유효성을 확인하지 않고 사용하는 애플리케이션의 안전하지 않은 역직렬화도 이 위험 범주에 속하며, 원격 코드 실행(RCE) 및 권한 상승과 같은 공격을 허용합니다. 
9. 보안 로깅 및 모니터링 실패. 부적절한 로깅 및 모니터링은 보안 사고를 적시에 감지하고 대응하는 것을 방해하여 공격이나 무단 활동을 식별하고 완화하기 어렵게 만듭니다. 이는 로그인, 로그인 실패, 고가 거래와 같은 감사 가능한 이벤트가 식별되거나 기록되지 않고, 애플리케이션이 실시간으로 활성 공격을 감지하지 못한다는 것을 의미합니다.  
10. 서버 측 요청 위조(SSRF). 이러한 취약점은 애플리케이션이 원격 리소스에서 데이터를 가져오기 전에 사용자가 입력한 URL을 검증하거나 삭제하지 않을 때 발생합니다. 공격자는 이러한 결함을 이용해 방화벽이나 다른 방어수단으로 보호하더라도 애플리케이션이 악성 웹 대상에 액세스하도록 강요할 수 있습니다. 이러한 공격은 대상 리소스가 클라우드 메타데이터 서비스나 백엔드 API와 같은 다른 시스템과 신뢰 관계가 있는 경우에도 발생할 수 있으며, 공격자는 이러한 신뢰할 수 있는 서비스에 요청을 보내 민감한 정보를 추출하거나 승인되지 않은 작업을 수행할 수 있습니다. SSRF를 완화하려면 최소 권한 액세스를 위한 시스템을 설계하고 WAF를 사용하여 보안 정책에서 URI(Uniform Resource Identifier) 매개변수를 명시적으로 정의하고 이에 액세스할 수 있는 호스트를 허용/거부합니다.

2021 OWASP Top 10에는 이전 2017 OWASP Top 10에 비해 일부 새로운 범주와 이름 변경이 반영되었습니다. 이러한 변경 사항에는 2017년 위험 위협 XML 외부 엔터티(XXE)를 2021년 보안 오류 범주에 통합하고 2017년 교차 사이트 스크립팅(XSS)을 2021년 주입 범주에 추가하는 것이 포함되었습니다. 2017년 위험인 안전하지 않은 역직렬화는 이제 2021년 소프트웨어 및 데이터 무결성 실패 범주에 포함되었습니다.