| 입력 : 2017 - 04 - 21 11 : 25 
 OWASP Top 10 – 2017 . .. 4 년 마다 한 번 씩 보안 위협 발표 
 올해 버전 , 취약 한 공격 방어 와 취약 한 API 추가 
 [ 보안 뉴스 원병 철 기자 ] 4 년 마다 한 번 씩 취약점 Top 10 을 발표 하 는 OWASP ( The Open Web Application Security Project ) 가 지난 4 월 초 ‘ OWASP Top 10 – 2017 ’ 을 발표 했 다 . 비 영리 재단 인 OWASP 는 어떠 한 기업 과 도 제휴 나 협약 을 맺 지 않 고 , 상업 적 인 목적 이나 이윤 압박 이 없 기 때문 에 애플리케이션 보안 에 대해 공정 하 고 실질 적 이 며 , 효율 적 인 정보 를 제공 하 고 있 다 . 
 OWASP Top 10 은 8 개 의 컨설팅 회사 와 3 개 의 제품 공급 업체 를 포함 해 애플리케이션 보안 전문 업체 의 11 개 대형 데이터 셋 을 기반 으로 작성 된다 . 이번 2017 버전 은 지난 2013 년 이후 처음 으로 두 개 의 항목 이 신설 됐 다 . 첫 번 째 는 취약 한 공격 방어 항목 이 며 , 또 하나 는 취약 한 API 항목 이 다 . 
 △ 인젝션 
 SQL , OS , XXE , LDAP 인젝션 취약점 은 신뢰 할 수 없 는 데이터 가 명령어 나 쿼 리문 의 일부분 이 인터프리터 로 보내 질 때 발생 한다 . 공격자 의 악의 적 인 데이터 는 예상 하 지 못하 는 명령 을 실행 하 거나 , 적절 한 권한 없이 데이터 에 접근 하 도록 인터프리터 를 속일 수 있 다 . 
 ▲ 자료 제공 : 블랙 팔콘 이지혜 
 △ 인증 및 세션 관리 취약점 
 인증 및 세션 관리 와 관련 된 애플리케이션 기능 이 종종 잘못 구현 되 어 공격자 에게 취약 한 암호 , 키 또는 세션 토큰 을 제공 해 다른 사용자 의 권한 을 ( 일시 적 으로 또는 영구 적 으로 ) 얻 도록 익스 플로 잇 한다 . 
 △ 크로스 사이트 스크립팅 ( XSS ) 
 XSS 취약점 은 애플리케이션 이 적절 한 유효 성 검사 또는 이스케이프 처리 없이 , 새 웹 페이지 에 신뢰 할 수 없 는 데이터 를 포함 하 거나 , JavaScript 를 생성 할 수 있 는 브라우저 API 를 사용 해 사용 자 가 제공 한 데이터 로 기존 웹 페이지 를 업데이트 한다 . XSS 를 사용 하 면 공격자 가 희생자 의 브라우저 에서 사용 자 세션 을 도용 하 거나 , 웹 사이트 를 변조 시키 거나 , 악 성 사이트 로 리다이렉션 시킬 수 있 다 . 
 △ 취약 한 접근 제 어 
 취약 한 접근 제어 는 인증 된 사용 자 가 수행 할 수 있 는 작업 에 대한 제한 이 제대로 적용 되 지 않 는 것 을 의미 한다 . 공격자 는 이러 한 결함 을 악용 해 다른 사용자 의 계정 에 액세스 하 거나 , 중요 한 파일 을 보 고 다른 사용자 의 데이터 를 수정 하 거나 , 접근 권한 을 변경 하 는 등 권한 없 는 기능 또는 데이터 에 접근 할 수 있 다 . 
 △ 보안 설정 오류 
 바람직 한 보안 은 애플리케이션 , 프레임워크 , WAS , 웹 서버 , DB 서버 및 플랫폼 에 대해 보안 설정 이 정의 되 고 적용 되 어 있 다 . 보안 기본 설정 은 대부분 안 전하 지 않 기 때문 에 정의 와 구현 , 그리고 유지 라는 3 박자 가 잘 이루어져야 한다 . 또한 , 소프트웨어 는 최신 버전 으로 관리 해야 한다 . 
 △ 민감 데이터 노출 
 대부분 의 웹 애플리케이션 과 API 는 금융 정보 , 건강 정보 , 개인 식별 정보 와 같 은 민감 정보 를 제대로 보호 하 지 못한다 . 공격자 는 신용카드 사기 , 신 분도 용 또는 다른 범죄 를 수행 하 는 취약 한 데이터 를 훔치 거나 변경 할 수 있 다 . 브라우저 에서 중요 데이터 를 저장 또는 전송 할 때 특별히 주의 해야 하 며 , 암호 화 와 같 은 보호 조치 를 취해야 한다 . 
 △ 공격 방어 취약점 
 대부분 의 애플리케이션 과 API 에 는 수동 공격 과 자동 공격 을 모두 탐지 하 거나 방지 · 대응 할 수 있 는 기본 기능 이 없 다 . 공격 보호 는 기본 입력 유효 성 검사 를 훨씬 뛰어넘 으며 , 자동 탐지 , 로 깅 , 응답 , 익스 플로 잇 시도 차단 을 포함 한다 . 애플리케이션 소유자 는 공격 으로부터 보호 하 기 위해 패치 를 신속 하 게 배포 할 수 있 어야 한다 . 
 △ 크로스 사이트 요청 변조 ( CSRF ) 
 CSRF 공격 은 로그인 된 피해자 의 취약 한 웹 애플리케이션 에 피해자 의 세션 쿠키 와 기타 인증 정보 를 포함 해 위조 된 HTTP 요청 을 강제 로 보내 도록 한다 . 예 를 들 어 , 공격자 가 취약 한 어플리케이션 이 피해자 의 정당 한 요청 이 라고 오해 할 수 있 는 요청 들 을 강제 로 만들 수 있 다 . 
 △ 알려진 취약점 이 있 는 컴포넌트 사용 
 컴포넌트 , 라이브러리 , 프레임워크 및 다른 소프트웨어 모듈 은 애플리케이션 과 같 은 권한 으로 실행 된다 . 이런 취약 한 컴포넌트 를 악용 해 공격 하 는 경우 , 심각 한 데이터 손실 이 발생 하 거나 서버 가 장악 된다 . 알려진 취약점 이 있 는 구성 요소 를 사용 하 는 애플리케이션 과 API 는 어플리케이션 을 약화 시키 고 다양 한 공격 과 영향 을 줄 수 있 다 . 
 △ 취약 한 API 
 최신 어플리케이션 에 는 일종 의 API ( SOAP / XML , REST / JSON , RPC , GWT 등 ) 에 연결 되 는 브라우저 및 모바일 애플리케이션 의 자바 스크립트 ( JavaScript ) 와 같 은 여러 클라이언트 애플리케이션 및 API 가 포함 되 는 경우 가 많 다 . 이러 한 API 는 대부분 보호 되 지 않 으며 수많 은 취약점 을 포함 한다 . 
 OWASP 측 은 이번 Top 10 외 에 도 ‘ OWASP Developer ’ s Guide ’ 와 ‘ OWASP Cheat Sheet Series ’ 에서 수백 개 의 웹 어플리케이션 위협 요소 를 다룬다 며 , 웹 애플리케이션 개발 자 라면 반드시 참고 할 것 을 권고 했 다 . 또한 , 보안 취약점 은 아주 복합 적 이 며 엄청난 코드 더미 사이 에 숨 어 있 기 때문 에 좋 은 도구 를 활용 할 수 있 는 보안 전문가 를 활용 하 라고 조언 했 다 . 
 무엇 보다 보안 이 개발 조직 전반 에 걸쳐 필수 적 인 요소 라고 인식 하 는 문화 를 만드 는 것 이 중요 하 다고 OWASP 는 강조 했 다 . 
 한편 , OWASP 한글 번역본 은 블랙 팔 콘 ( Black Falcon ) 이지혜 씨 가 제공 했으며 . 전문 은 블랙 팔 콘 블로그 에서 받 을 수 있 다 . 
 # OWASP # Top 10 # API # 인젝션 # 인증 및 세션 관리 취약점 
 OWASP , 2017 년 Top 10 취약점 발표 
 베라 코드 에서 가장 많이 발견 된 취약점 은 정보 노출 ! 
 2017 OWASP TOP 10 RC 2 , 한국어 버전 으로 꼼꼼히 살펴보 기 
 OWASP Top 10 2017 RC 2 발표 . .. 새로 선정 된 보안 취약점 3 가지 는 ? 
 OWASP 가 발표 한 가장 심각 한 모바일 보안 위협 Top 10