OWASP 2021 리스트 개편: 새로운 대응 전략과 핵심 위협

점점 더 혼란스러워지는 이 세상에서도 사람들이 변함없이 신뢰할 수 있는 몇 가지 상수가 있었습니다. 아침에 해가 뜨고 밤에 다시 진다는 것, 소닉보다는 마리오가 언제나 더 멋지다는 것, 그리고 인젝션 공격이 항상 OWASP(Open Web Application Security Project)가 선정한 가장 흔하고 위험한 공격자들이 적극적으로 악용하는 취약점 상위 10위 목록에서 1위를 차지할 것이라는 점입니다.

물론 내일도 해는 뜰 것이고 마리오는 여전히 소닉보다 한 수 위겠지만, 2021년에 개정된 악명 높은 OWASP 목록에서 인젝션 공격은 더 이상 1위가 아닙니다. 가장 오래된 공격 형태 중 하나인 인젝션 취약점은 컴퓨터 네트워킹의 역사와 거의 궤를 같이합니다. 이 포괄적인 취약점은 전통적인 SQL 인젝션부터 OGNL(Object Graph Navigation Libraries)을 대상으로 하는 공격까지 광범위한 공격의 원인이 됩니다. 심지어 OS 명령어 인젝션 기법을 사용하여 서버를 직접 공격하는 사례도 포함합니다. 공격자들에게 인젝션 취약점이 가진 범용성과 공격 가능한 지점의 방대함 덕분에 이 카테고리는 수년간 1위 자리를 지켜왔습니다.

하지만 인젝션의 왕좌는 무너졌습니다. 새로운 왕의 등극을 알립니다.

그렇다면 인젝션 취약점 문제를 완전히 해결했다는 뜻일까요? 절대 아닙니다. 보안의 적 1호라는 위치에서 크게 벗어나지 않은 3위로 내려왔을 뿐입니다. 인젝션 공격의 지속적인 위험을 과소평가하는 것은 실수입니다. 하지만 다른 취약점 카테고리가 이를 앞질렀다는 사실은 매우 중요합니다. 이는 새로운 OWASP 1위가 얼마나 광범위하게 퍼져 있는지, 그리고 왜 개발자들이 앞으로 이 문제에 각별히 주의를 기울여야 하는지를 보여주기 때문입니다.

하지만 가장 흥미로운 점은 OWASP Top 10 2021이 대대적인 개편을 거쳤다는 것입니다. '불안전한 설계(Insecure Design)', '소프트웨어 및 데이터 무결성 실패(Software and Data Integrity Failures)', 그리고 커뮤니티 설문조사 결과를 바탕으로 한 '서버 측 요청 위조(Server-Side Request Forgery)'와 같은 새로운 카테고리가 등장했습니다. 이는 소프트웨어 보안의 기준이 표면적인 버그를 넘어 아키텍처 수준의 취약점으로 초점이 이동하고 있음을 시사합니다.

왕좌를 차지한 깨진 접근 제어 (그리고 드러난 트렌드)

깨진 접근 제어는 OWASP 상위 10대 취약점 목록에서 5위에서 단숨에 1위로 뛰어올랐습니다. 인젝션이나 불안전한 설계와 같은 새로운 항목들처럼, 접근 제어 취약점은 광범위한 코딩 결함을 포괄하며, 여러 방면에서 피해를 줄 수 있다는 점에서 그 악명 높은 인기를 더하고 있습니다. 이 카테고리에는 사용자가 의도된 권한 밖에서 행동할 수 있도록 접근 제어 정책이 위반되는 모든 사례가 포함됩니다.

OWASP가 이 취약점군을 1위로 격상하며 언급한 깨진 접근 제어의 예시로는 공격자가 URL, 내부 애플리케이션 상태 또는 HTML 페이지의 일부를 수정할 수 있게 하는 경우 등이 있습니다. 또한 사용자가 기본 액세스 키를 변경하여 애플리케이션, 사이트 또는 API가 해당 사용자를 더 높은 권한을 가진 관리자로 오인하게 만들 수도 있습니다. 심지어 공격자가 메타데이터 수정을 제한받지 않아 JSON 웹 토큰, 쿠키 또는 접근 제어 토큰 등을 변경할 수 있는 취약점도 포함됩니다.

일단 악용되면 이 취약점군은 공격자가 파일 또는 객체 권한을 우회하여 데이터를 훔치거나, 데이터베이스 삭제와 같은 파괴적인 관리자 수준의 기능을 수행하는 데 사용될 수 있습니다. 이로 인해 깨진 접근 제어는 점점 더 흔해질 뿐만 아니라 치명적인 위험성을 갖게 됩니다.

인증 및 접근 제어 취약점이 공격자들에게 가장 비옥한 토양이 되고 있다는 점은 놀랍지 않으면서도 매우 설득력 있는 사실입니다. 버라이즌의 최신 데이터 침해 조사 보고서에 따르면 접근 제어 문제는 IT 및 의료 분야를 포함한 거의 모든 산업에서 만연하며, 전체 침해 사고의 85%가 인적 요소와 관련이 있습니다. 물론 '인적 요소'에는 엔지니어링 문제가 아닌 피싱 공격 같은 사건도 포함되지만, 침해 사고의 3%는 악용 가능한 취약점과 관련이 있었으며, 보고서에 따르면 이는 주로 보안 설정 오류와 같은 오래된 취약점과 인적 오류로 인한 것이었습니다.

XSS나 SQL 인젝션과 같은 낡은 보안 버그들이 여전히 개발자들의 발목을 잡고 있지만, 핵심 보안 설계의 실패가 점점 더 분명해지고 있습니다. 이는 위협 행위자에게 매우 유리한 아키텍처 취약점으로 이어지며, 특히 특정 애플리케이션 버전의 보안 결함이 공개된 후에도 패치되지 않을 경우 더욱 위험합니다.

문제는 기초적인 수준을 넘어선 교육과 기술 개발 기회를 제공받는 엔지니어가 거의 없으며, 개발자가 처음부터 도입하기 쉬운 국소적인 코드 수준의 버그를 넘어 지식과 실무 적용 능력을 확장하는 경우는 더욱 드물다는 점입니다.

로봇이 좀처럼 찾아내지 못하는 버그 예방하기

새롭게 분류된 깨진 접근 제어 취약점군은 상당히 다양합니다. 깨진 접근 제어의 구체적인 사례와 이를 방지하는 방법은 저희 유튜브 채널과 블로그에서 확인하실 수 있습니다.

하지만 저는 이번 OWASP Top 10의 변화를 환영할 필요가 있다고 생각합니다. 실제로 이번 목록은 스캐너가 반드시 잡아내지 못하는 공격 벡터를 포함하여 훨씬 더 다양해졌습니다. 코드 수준의 약점이 발견될 때마다, 자동화된 방어 도구와 무기가 아무리 많아도 대부분의 보안 기술 스택이 알아차리지 못하는 더 복잡한 아키텍처 결함이 남게 됩니다. OWASP Top 10 목록의 대부분은 여전히 스캔 데이터를 기반으로 작성되지만, 불안전한 설계와 데이터 무결성 실패 등을 다루는 새로운 항목들은 로봇이 할 수 없는 일을 수행하기 위해 개발자의 교육 지평이 빠르게 확장되어야 함을 보여줍니다.

간단히 말해, 보안 스캐너는 훌륭한 위협 모델러가 될 수 없습니다. 하지만 보안 기술을 갖춘 개발자 팀은 모범 사례와 비즈니스 요구 사항에 맞춰 보안 IQ를 높임으로써 AppSec 팀에 엄청난 도움을 줄 수 있습니다. OWASP Top 10은 훌륭한 기준점이지만, 위협 환경이 매우 빠르게 변화하고 내부 개발 목표에 대한 요구 사항이 많다는 점을 고려하여 이를 보안 프로그램에 반영해야 합니다. 즉, 개발자의 보안 역량을 더 깊고 구체적으로 강화할 계획이 반드시 필요합니다. 그렇지 않으면 조기 대응의 기회를 놓치게 될 것이며, 예방 중심의 인적 사이버 보안을 위한 성공적인 전체론적 접근을 방해하게 될 것입니다.

‍

저희는 OWASP Top 10 2021에 완벽히 대비하고 있으며, 이는 시작에 불과합니다! 오늘 바로 개발자들을 위한 향상된 보안 기술 경로를 시작하세요.