Coders Conquer Security OWASP API 보안 상위 10대 시리즈 - 로깅 및 모니터링 부족

로깅 및 모니터링 부족 취약점은 주로 모든 실패한 인증 시도, 거부된 액세스, 입력 유효성 검사 오류를 기록하지 못하는 사이버 보안 계획의 실패로 인해 발생합니다. 이는 프로덕션 환경의 다른 지점에서도 발생할 수 있지만, 주로 잘못된 로그인 시도를 차단하지 못하는 경우와 관련이 있습니다.

이 취약점은 사이버 보안 팀이 공격을 인지하지 못해 대응할 수 없게 만들기 때문에 매우 위험합니다. 공격자는 이를 악용하여 시스템에 더 깊숙이 침투하거나 권한을 상승시키는 동안 눈에 띄지 않게 활동할 수 있습니다. 실제로 적절한 로깅과 모니터링이 없으면 공격이 심각한 피해를 입히기 전에 이를 탐지하고 차단하는 것은 매우 어렵거나 불가능합니다.

지금 바로 도전 과제로 실력을 테스트해 볼 준비가 되셨나요? 다음 내용을 확인해 보세요.

공격자는 로깅 및 모니터링 부족 취약점을 어떻게 악용할까요?

로깅 수준이 올바르게 설정되지 않았거나 너무 낮게 설정된 경우, 오류 메시지에 충분한 정보가 포함되지 않은 경우, 또는 로깅 기능이 전혀 없는 경우 모든 API는 로깅 및 모니터링 부족 취약점에 노출됩니다.

흥미로운 예로, 해커가 웹사이트나 서비스의 유출된 사용자 이름 목록을 대량으로 확보한 경우를 들 수 있습니다. 해커는 실험을 통해 시스템에서 3번의 로그인 실패가 발생하면 계정이 잠기고 보안 담당자에게 알림이 전송된다는 사실을 파악할 수 있습니다.

이 정보를 바탕으로 공격자는 단일 계정을 무차별 대입 공격하는 대신, "123456"이나 "password"와 같은 흔한 비밀번호를 사용하여 유출된 목록의 모든 이름으로 로그인하는 스크립트를 작성할 수 있습니다. 핵심은 각 사용자 이름으로 한두 번만 시도하여 계정 잠금 및 경고 임계값 아래로 유지하는 것입니다. 운이 좋으면 즉시 몇 개의 비밀번호를 탈취할 수 있습니다. 그 후, 로그인 카운터가 재설정될 때까지 하루를 기다린 다음 "qwerty"나 "god"와 같은 다른 비밀번호로 과정을 반복합니다. 관리자가 공격을 탐지하지 못하면 공격자는 목록을 여러 번 반복하여 결국 약한 비밀번호를 사용하는 대부분의 계정을 탈취할 수 있습니다.

이는 OWASP에서 제공한 사례로, 한 동영상 공유 플랫폼이 로깅 및 모니터링 부족 취약점을 악용한 크리덴셜 스터핑 공격을 받은 경우입니다. 해당 기업은 사용자들의 불만이 접수되기 전까지 공격 사실을 전혀 알지 못했습니다. 결국 API 로그에서 증거를 발견했고, 모든 사용자에게 강제 비밀번호 변경 알림을 발송해야 했으며 규제 당국에 공격 사실을 보고해야 했습니다.

로깅 및 모니터링 부족 취약점 제거하기

자동화와 지속적인 모니터링은 이 취약점을 해결하는 데 도움이 됩니다. 우선, 모든 실패한 인증 시도를 기록해야 합니다. 또한 해당 로그를 STIX나 TAXII와 같이 기계가 읽을 수 있는 형식으로 변환하여, 설정된 임계값과 관계없이 공격을 탐지하도록 훈련된 보안 정보 및 이벤트 관리(SIEM) 시스템으로 전송해야 합니다.

로그 파일도 보호해야 합니다. 로그 파일을 민감한 정보로 취급하고 공격자가 삭제하거나 수정하지 못하도록 보호하세요. 로그 파일을 백업하고 암호화하는 것이 좋은 정책입니다.

마지막으로, 맞춤형 대시보드와 알림을 생성하여 의심스러운 활동을 최대한 빠르게 탐지하고 대응할 수 있도록 하세요. 공격자가 시스템에 머무는 시간을 없애면, 탐지를 피하기 위해 느리고 은밀하게 공격하는 기법을 무력화할 수 있습니다.

이 취약점에 대한 더 자세한 정보와 조직 및 고객을 다른 보안 위협으로부터 보호하는 방법은 Secure Code Warrior 블로그 페이지에서 확인하세요. 또한 데모를 체험하여 사이버 보안 기술을 최신 상태로 유지해 보세요.