OWASP

OWASP - 웹 보안의 교과서

OWASP가 뭐야?

전 세계 개발자들이 모여서 "어떻게 하면 해킹 안 당하는 웹사이트를 만들 수 있을까?"를 연구하고, 그 결과를 무료로 공개해.

2001년에 만들어졌고, 지금은 전 세계 250개 이상의 지부가 있어.

OWASP Top 10이 뭐야?

수년마다 업데이트되는데, 전 세계 수천 개 기업과 개발자들이 이걸 기준으로 보안을 점검해.

2021년 Top 10 (현행) 설명

1위: 접근 통제 실패

예시: 쇼핑몰 주문 URL이 /order/123인데 /order/124로 바꿨더니 남의 주문 정보가 나온다면? 큰일이지!

2위: 암호화 실패

예시: 비밀번호를 암호화하지 않고 그냥 저장, HTTP(암호화 없음)로 신용카드 정보 전송

3위: 인젝션 (SQL 인젝션)

SQL 인젝션이란? 웹사이트의 검색창이나 로그인 창에 SQL 명령어를 입력해서 DB를 조종하는 공격이야.

예시:

• 로그인 창 아이디: admin' --
• 비밀번호: 아무거나

이렇게 입력하면 SQL이 WHERE id='admin'--가 돼서 비밀번호 검사를 건너뛰고 로그인되는 거야!

방어법: 입력값을 그대로 SQL에 넣지 않고, "준비된 구문"을 사용

4위: 불안전한 설계

코드 문제가 아니라 처음 설계부터 잘못된 경우.

예시: "비밀번호 찾기"에서 전 직장 이름을 물어보는데, SNS에 다 공개되어 있다면?

5위: 보안 설정 오류

기본 설정을 그대로 두거나 잘못 설정한 경우.

예시: AWS S3 저장소를 실수로 "공개"로 설정해서 수백만 명의 개인정보가 유출된 사건들

6위: 오래된 컴포넌트 사용

2021년 말 Log4Shell 사건이 대표적이야. 자바 로그 라이브러리 Log4j에 취약점이 발견됐는데, 전 세계 수억 개 서버에 이 라이브러리가 깔려 있었어. 엄청난 파장이었지.

7위: 인증 실패

비밀번호를 무제한으로 시도할 수 있거나, 세션이 너무 오래 유지되거나.

8위: 데이터 무결성 실패

소프트웨어 업데이트를 악용한 공격. 합법적인 업데이트인 척 악성코드 설치.

9위: 로깅·모니터링 실패

해킹당해도 모르는 경우야. 로그를 안 기록하면 나중에 피해 원인 파악도 불가능해.

10위: SSRF (서버 측 요청 위조)

서버를 이용해서 내부 네트워크를 공격하는 방법.

XSS (크로스사이트 스크립팅)

Top 10에는 없지만 매우 중요한 취약점이야!

게시판에 글을 올릴 때 악성 스크립트를 넣어두면, 그 글을 읽는 사람들의 계정이 해킹당할 수 있어.

예시: 게시판 글 내용에 삽입

방어법: 게시판에 HTML 태그를 그대로 저장하지 않고 무해하게 변환

OWASP의 유용한 도구

• OWASP ZAP: 무료 해킹 시뮬레이션 도구 (내 사이트 취약점 찾기)
• Cheat Sheet: 개발자를 위한 보안 코딩 가이드

왜 중요해?

OWASP - 웹사이트를 안전하게 지키는 조직

OWASP가 뭐예요?

"어떻게 하면 해킹 당하지 않는 안전한 웹사이트를 만들 수 있을까?" 라는 질문에 답하기 위해 2001년에 만들어졌어요.

모든 정보를 무료로 공개해서 누구나 안전한 프로그램을 만들 수 있도록 도와줘요.

OWASP Top 10이 뭐예요?

개발자들이 이 10가지를 막으면 대부분의 해킹을 막을 수 있어요!

가장 유명한 해킹 방법들

SQL 인젝션 (3위)

마치 "열려라 참깨!"처럼, 몰래 통하는 마법 주문을 입력하는 거예요.

예시: 로그인 창에 비밀번호 대신 특수한 문자를 입력해서 로그인 통과!

XSS (크로스사이트 스크립팅)

마치 편지 안에 바이러스를 숨기는 것처럼요.

접근 통제 실패 (1위)

예를 들어 내 방 번호가 101호인데, URL을 바꿔서 102호(다른 사람 정보)를 들여다보는 거예요.

개발자들은 어떻게 막아요?

• 입력값을 믿지 않고 항상 검사해요
• 중요한 정보는 암호화해서 저장해요
• 최신 보안 업데이트를 빠르게 적용해요
• 이상한 활동이 있으면 알림을 받아요

OWASP는 어떤 도구를 만들어요?

• ZAP: 내 웹사이트의 취약점을 찾아주는 무료 도구
• Cheat Sheet: 안전하게 코딩하는 방법 안내서

왜 중요해요?

앞으로 개발자가 되고 싶다면 꼭 알아야 할 보안 상식이에요.

OWASP (Open Web Application Security Project)

Overview

OWASP Top 10

OWASP Top 10 2021 (Current Version)

A01: 2021 - Broken Access Control Previous Ranking: A05:2017 → A01:2021 (Ranked #1)

• Vulnerability allowing authenticated users unauthorized access to sensitive functionalities or data.
• Examples: URL parameter manipulation (/user/123 to /user/124), JWT token tampering, misconfigured CORS settings, direct access to admin pages.
• Mitigation: Principle of Least Privilege, server-side access control validation, CORS whitelisting.

A02: 2021 - Cryptographic Failures Previous Name: A03:2017 - Sensitive Data Exposure

• Inadequate protection of sensitive data during transmission or storage.
• Examples: HTTP transfers, weak encryption algorithms (MD5, SHA-1), hardcoded encryption keys, insufficient TLS configurations.
• Mitigation: TLS 1.2+, AES-256 encryption, robust hashing algorithms (Argon2/bcrypt), Hardware Security Module (HSM) key management.

A03: 2021 - Injection Previous Ranking: A01:2017 → A03:2021

• Vulnerability arising from untrusted data being interpreted as executable commands by application interpreters.
• SQL Injection:
- Example: Input manipulation (' OR '1'='1 disabling WHERE clause conditions). - Mitigation: Prepared Statements, ORM frameworks, input validation.
• NoSQL Injection: Targeting databases like MongoDB ({"$ne": null}).
• OS Command Injection: Embedding commands like cmd.exe /c dir.
• LDAP Injection, OGNL Injection: Targeting middleware systems.

A04: 2021 - Insecure Design New category introduced in 2021, focusing on architectural and design flaws.

• Examples: Flaws in business logic (unrestricted reservations, duplicate coupon usage), inadequate threat modeling.
• Mitigation: Threat modeling (STRIDE), secure design patterns, defining security requirements.

A05: 2021 - Security Misconfiguration

• Issues arising from default accounts, exposed credentials, unnecessary features, and excessive error messages.
• Examples: Publicly accessible AWS S3 buckets, unauthenticated access to Spring Boot Actuator, XML External Entity (XXE) vulnerabilities.
• Mitigation: Hardening checklists, Infrastructure as Code (IaC) security scans, adherence to CIS benchmarks.

A06: 2021 - Vulnerable and Outdated Components Utilization of libraries and frameworks known to contain vulnerabilities.

• Examples: Log4Shell (CVE-2021-44228), Spring4Shell, Apache Struts vulnerabilities.
• Mitigation: Software Composition Analysis (SCA) tools like Dependabot and Snyk, regular patching.

A07: 2021 - Identification and Authentication Failures Weak authentication mechanisms leading to security breaches.

• Examples: Unlimited login attempts, weak session IDs, password mismatches, lack of Multi-Factor Authentication (MFA).
• Mitigation: Multi-Factor Authentication (MFA), strong password policies, session timeouts, FIDO2 standards.

A08: 2021 - Software and Data Integrity Failures Deficiencies in CI/CD pipelines and insecure deserialization processes.

• Examples: Reliance on untrusted Content Delivery Networks (CDNs), npm supply chain attacks, unsigned updates.
• Mitigation: Code signing, Security Lifecycle Assurance (SLA) frameworks, validating deserialization inputs.

A09: 2021 - Security Logging and Monitoring Failures Insufficient logging of security events and lack of anomaly detection.

• Examples: Failure to log login attempts, absence of Security Information and Event Management (SIEM) systems, delayed intrusion detection.
• Mitigation: Centralized logging solutions (ELK, Splunk), SIEM deployment, intrusion detection indicators (IoC) monitoring.

A10: 2021 - Server-Side Request Forgery (SSRF) New category introduced in 2021, where servers inadvertently execute requests directed by external attackers.

• Examples: Accessing cloud instance metadata (http://169.254.169.254/), internal network scanning.
• Mitigation: URL whitelisting, SSRF defense libraries, network segmentation.

In-Depth Analysis of XSS (Cross-Site Scripting)

XSS remains a persistent top vulnerability beyond the OWASP Top 10.

Types

• Stored XSS: Malicious scripts stored in databases executed against users.
• Reflected XSS: Scripts embedded in URL parameters immediately reflected back to users.
• DOM-based XSS: Execution of scripts through JavaScript DOM manipulation.

Mitigation Strategies

• Contextual output encoding (HTML, JS, URL, CSS).
• Implementing Content Security Policy (CSP) headers.
• Utilizing HttpOnly and Secure flags for cookies.
• Input validation using whitelists.

Key OWASP Projects

• OWASP ZAP: Free, open-source web vulnerability scanner.
• OWASP ASVS: Application Security Verification Standard (three levels).
• OWASP SAMM: Software Assurance Maturity Model.
• OWASP Cheat Sheet Series: Security implementation guides for developers.
• OWASP Dependency-Check: Tool for identifying vulnerable components.
• OWASP WSTG: Web Security Testing Guide.

Integration into Security Development Lifecycle (SDL)

OWASP recommends integrating security practices throughout the development lifecycle:
• Requirements: Security requirements based on OWASP ASVS.
• Design: Threat modeling using STRIDE.
• Development: Adherence to secure coding standards and Static Application Security Testing (SAST) tools.
• Testing: Dynamic Application Security Testing (DAST) with OWASP ZAP, penetration testing, and OWASP WSTG.
• Deployment: Security configuration reviews and Infrastructure as Code (IaC) scans.
• Operation: Security Information and Event Management (SIEM) systems and vulnerability management practices.

Domestic Application

• OWASP serves as the basis for vulnerability assessment guidelines in South Korea's electronic government services by the Ministry of the Interior and Safety (행정안전부) and Korea Internet & Security Agency (KISA).
• Financial Security Agency (금융보안원) references OWASP guidelines for vulnerability assessments in the financial sector.
• Compliance with OWASP Top 10 is mandated in PCI-DSS and ISO 27001 certification processes internationally.

English version not yet available.

English version not yet available.