.jpg)
.jpg)
OWASP, 2017 TOP10 발표 전 최종 체크...블랙 팔콘팀 한글버전 공개
최근 10년간 어플리케이션의 급격한 변화 반영...기존과 다른 새로운 위협 소개
[보안뉴스 원병철 기자] 국제적인 웹보안 분야의 비영리기구 ‘OWASP’가 ‘OWASP TOP 10 2017’의 두 번째 RC(Release Candidate) 버전을 발표한 가운데, 블랙 팔콘(Black Falcon) 팀에서 한글 번역본을 만들어 배포했다.
OWASP는 지금까지 공개했던 OWASP와 비교될 정도로 많은 피드백을 받았으며, 이로 인해 OWASP TOP 10을 선정하는 것이 얼마나 중요한 것인지 다시 한 번 알 수 있게 됐다고 서론을 통해 밝히고 있다. 특히, OWASP TOP 10 프로젝트의 원래 목표가 단순히 개발자의 인식을 높이는 것이었지만, 이제는 어플리케이션 보안의 표준이 되었다며 좀 더 많은 사람들이 함께 참여해줄 것을 요청했다.
2017년 OWASP Top 10은 주로 어플리케이션 보안 및 40개 이상의 서브 미션을 바탕으로 진행됐다. 이 데이터는 수백 개의 조직과 10만 개가 넘는 실제 어플리케이션 및 API에서 수집된 취약점을 포함한다.
특히, 2017년 OWASP Top 10은 지난 4년 동안 있었던 많은 변화에 맞춰 바뀌었으며, 아예 OWASP Top 10을 새롭게 뜯어고치고 방법론을 개선한 것으로 알려졌다. 또한, 새로운 데이터 콜 프로세스를 활용해 커뮤니티와 협력하고 위험을 다시 정한 후 처음부터 다시 작성했다고 밝히고 있다.
.jpg)
△ 인젝션
SQL, OS, XXE, LDAP 인젝션 취약점은 신뢰할 수 없는 데이터가 명령어나 쿼리문의 일부분이 인터프리터로 보내질 때 발생한다. 공격자의 악의적인 데이터는 예상하지 못하는 명령을 실행하거나 적절한 권한 없이 데이터에 접근하도록 인터프리터를 속일 수 있다.
.jpg)
△ 취약한 인증
인증 및 세션 관리와 관련된 어플리케이션 기능이 종종 잘못 구현되어 공격자에게 취약한 암호, 키 또는 세션 토큰을 제공, 다른 사용자의 권한을 (일시적으로 또는 영구적으로) 얻도록 익스플로잇한다.
.jpg)
△ 민감정보 노출
대부분의 웹 어플리케이션과 API는 금융정보, 건강정보, 개인식별정보와 같은 민감정보를 제대로 보호하지 않는다. 공격자는 신용카드사기, 신분 도용 또는 다른 범죄를 수행하는 취약한 데이터를 훔치거나 변경할 수 있다. 브라우저에서 중요 데이터를 저장 또는 전송할 때 특별히 주의해야 하며, 암호화와 같이 보호조치를 취해야 한다.
.jpg)
△ 외부 개체(XXE)
오래된 XML 프로세서는 XML 문서 내에서 외부 개체 참조를 평가한다. 외부 개체는 파일 URI 처리기, 패치 되지 않은 Windows 서버의 내부 SMB 파일 공유, 내부 포트 검색, 원격 코드 실행 및 Billion Laughs 공격과 같은 서비스 거부 공격을 사용해 내부 파일을 공개하는 데 사용할 수 있다.
.jpg)
△ 취약한 접근 통제
인증된 사용자가 수행할 수 있는 작업에 대한 제한이 제대로 적용되지 않는다. 공격자는 이러한 취약점을 악용해 다른 사용자의 계정에 접근하거나, 중요한 파일을 보고 다른 사용자의 데이터를 수정하거나, 접근 권한을 변경하는 등 권한 없는 기능 또는 데이터에 접근할 수 있다.
△ 보안 설정 오류
보안 구성 오류는 수동 또는 ad hoc 설정(또는 구성되지 않음), 안전하지 않은 기본 구성, 열린 S3 bucket, 잘못 구성된 HTTP 헤더, 민감정보가 포함된 오류 메시지, 패치되지 않은 시스템, 프레임워크 종속성, 컴포넌트를 적시에 업그레이드 하지 않는 것이 일반적이다.
△ 크로스사이트 스크립팅(XSS)
XSS 취약점은 어플리케이션이 적절한 유효성 검사 또는 이스케이프 처리 없이 새 웹 페이지에 신뢰할 수 없는 데이터를 포함하거나 ,JavaScript를 생성할 수 있는 브라우저 API를 사용해 사용자가 제공한 데이터로 기존 웹 페이지를 업데이트한다. XSS를 사용하면 공격자가 희생자의 브라우저에서 사용자 세션을 도용하거나 웹사이트를 변조시키거나 악성 사이트로 리다이렉션 시킬 수 있다.
△ 불안전한 Deserialization
어플리케이션이 악의적인 Deserialization 객체를 받으면 안전하지 않은 Deserialization 취약점이 발생하며, 안전하지 않은 Serialization로 인해 원격코드가 실행된다. Deserialization 취약점으로 인해 원격 코드가 실행되지 않아도 Serialization된 객체를 재생, 변조 또는 삭제하여 사용자를 속이거나 주입 공격을 받고 권한을 강화할 수 있다.
△ 잘 알려진 취약점이 있는 컴포넌트 사용
컴포넌트, 라이브러리, 프레임워크 및 다른 소프트웨어 모듈은 어플리케이션과 같은 권한으로 실행된다. 이러한 취약한 컴포넌트를 악용해 공격하는 경우 심각한 데이터 손실이 발생하거나 서버가 장악된다. 알려진 취약점이 있는 컴포넌트를 사용하는 어플리케이션과 API는 어플리케이션을 약화시키고 다양한 공격에 영향을 줄 수 있다.
△ 불충분한 로깅과 모니터링
불충분한 로깅 및 모니터링은 사고 대응의 누락 또는 비효율적인 통합과 함께 공격자가 시스템을 더 공격하고 더 많은 시스템으로 피봇하며, 데이터를 변조나 추출 또는 파괴할 수 있다. 대부분의 침해사례는 침해가 200일 이상 걸리는 것을 감지할 수 있는 시간을 보여주며 일반적으로 내부 프로세스나 모니터링보다는 외부 당사자가 탐지한다.
한편, 블랙 팔콘팀은 최신 익스플로잇(exploit) 기술 분석 이외에 OWASP와 같은 중요 기술문서에 대한 번역 프로젝트를 주요 과제로 삼고 있다. 블랙 팔콘팀은 이러한 작업이 보안에 종사하는 사람들에게 유익한 자료가 되었으면 하는 바람으로 프로젝트를 시작하게 됐다고 밝혔으며, 현재 OWASP TOP 10외에 SANS, Testing Guide 등 중요 기술 문서를 번역 중인 것으로 알려졌다.
[원병철 기자(boanone@boannews.com)]
최근 10년간 어플리케이션의 급격한 변화 반영...기존과 다른 새로운 위협 소개
[보안뉴스 원병철 기자] 국제적인 웹보안 분야의 비영리기구 ‘OWASP’가 ‘OWASP TOP 10 2017’의 두 번째 RC(Release Candidate) 버전을 발표한 가운데, 블랙 팔콘(Black Falcon) 팀에서 한글 번역본을 만들어 배포했다.
OWASP는 지금까지 공개했던 OWASP와 비교될 정도로 많은 피드백을 받았으며, 이로 인해 OWASP TOP 10을 선정하는 것이 얼마나 중요한 것인지 다시 한 번 알 수 있게 됐다고 서론을 통해 밝히고 있다. 특히, OWASP TOP 10 프로젝트의 원래 목표가 단순히 개발자의 인식을 높이는 것이었지만, 이제는 어플리케이션 보안의 표준이 되었다며 좀 더 많은 사람들이 함께 참여해줄 것을 요청했다.
2017년 OWASP Top 10은 주로 어플리케이션 보안 및 40개 이상의 서브 미션을 바탕으로 진행됐다. 이 데이터는 수백 개의 조직과 10만 개가 넘는 실제 어플리케이션 및 API에서 수집된 취약점을 포함한다.
특히, 2017년 OWASP Top 10은 지난 4년 동안 있었던 많은 변화에 맞춰 바뀌었으며, 아예 OWASP Top 10을 새롭게 뜯어고치고 방법론을 개선한 것으로 알려졌다. 또한, 새로운 데이터 콜 프로세스를 활용해 커뮤니티와 협력하고 위험을 다시 정한 후 처음부터 다시 작성했다고 밝히고 있다.
▲ OWASP TOP 10 인젝션[자료=블랙팔콘 이지혜]
△ 인젝션
SQL, OS, XXE, LDAP 인젝션 취약점은 신뢰할 수 없는 데이터가 명령어나 쿼리문의 일부분이 인터프리터로 보내질 때 발생한다. 공격자의 악의적인 데이터는 예상하지 못하는 명령을 실행하거나 적절한 권한 없이 데이터에 접근하도록 인터프리터를 속일 수 있다.
▲ OWASP TOP 10 취약한 인증[자료=블랙팔콘 이지혜]
△ 취약한 인증
인증 및 세션 관리와 관련된 어플리케이션 기능이 종종 잘못 구현되어 공격자에게 취약한 암호, 키 또는 세션 토큰을 제공, 다른 사용자의 권한을 (일시적으로 또는 영구적으로) 얻도록 익스플로잇한다.
▲ OWASP TOP 10 민감정보 노출[자료=블랙팔콘 이지혜]
△ 민감정보 노출
대부분의 웹 어플리케이션과 API는 금융정보, 건강정보, 개인식별정보와 같은 민감정보를 제대로 보호하지 않는다. 공격자는 신용카드사기, 신분 도용 또는 다른 범죄를 수행하는 취약한 데이터를 훔치거나 변경할 수 있다. 브라우저에서 중요 데이터를 저장 또는 전송할 때 특별히 주의해야 하며, 암호화와 같이 보호조치를 취해야 한다.
▲ OWASP TOP 10 외부 개체(XXE)[자료=블랙팔콘 이지혜]
△ 외부 개체(XXE)
오래된 XML 프로세서는 XML 문서 내에서 외부 개체 참조를 평가한다. 외부 개체는 파일 URI 처리기, 패치 되지 않은 Windows 서버의 내부 SMB 파일 공유, 내부 포트 검색, 원격 코드 실행 및 Billion Laughs 공격과 같은 서비스 거부 공격을 사용해 내부 파일을 공개하는 데 사용할 수 있다.
▲ OWASP TOP 10 취약한 접근 통제[자료=블랙팔콘 이지혜]
△ 취약한 접근 통제
인증된 사용자가 수행할 수 있는 작업에 대한 제한이 제대로 적용되지 않는다. 공격자는 이러한 취약점을 악용해 다른 사용자의 계정에 접근하거나, 중요한 파일을 보고 다른 사용자의 데이터를 수정하거나, 접근 권한을 변경하는 등 권한 없는 기능 또는 데이터에 접근할 수 있다.
▲ OWASP TOP 10 보안 설정 오류[자료=블랙팔콘 이지혜]
△ 보안 설정 오류
보안 구성 오류는 수동 또는 ad hoc 설정(또는 구성되지 않음), 안전하지 않은 기본 구성, 열린 S3 bucket, 잘못 구성된 HTTP 헤더, 민감정보가 포함된 오류 메시지, 패치되지 않은 시스템, 프레임워크 종속성, 컴포넌트를 적시에 업그레이드 하지 않는 것이 일반적이다.
▲ OWASP TOP 10 크로스사이트 스크립팅(XSS)[자료=블랙팔콘 이지혜]
△ 크로스사이트 스크립팅(XSS)
XSS 취약점은 어플리케이션이 적절한 유효성 검사 또는 이스케이프 처리 없이 새 웹 페이지에 신뢰할 수 없는 데이터를 포함하거나 ,JavaScript를 생성할 수 있는 브라우저 API를 사용해 사용자가 제공한 데이터로 기존 웹 페이지를 업데이트한다. XSS를 사용하면 공격자가 희생자의 브라우저에서 사용자 세션을 도용하거나 웹사이트를 변조시키거나 악성 사이트로 리다이렉션 시킬 수 있다.
▲ OWASP TOP 10 불안전한 Deserialization[자료=블랙팔콘 이지혜]
△ 불안전한 Deserialization
어플리케이션이 악의적인 Deserialization 객체를 받으면 안전하지 않은 Deserialization 취약점이 발생하며, 안전하지 않은 Serialization로 인해 원격코드가 실행된다. Deserialization 취약점으로 인해 원격 코드가 실행되지 않아도 Serialization된 객체를 재생, 변조 또는 삭제하여 사용자를 속이거나 주입 공격을 받고 권한을 강화할 수 있다.
▲ OWASP TOP 10 잘 알려진 취약점이 있는 컴포넌트 사용[자료=블랙팔콘 이지혜]
△ 잘 알려진 취약점이 있는 컴포넌트 사용
컴포넌트, 라이브러리, 프레임워크 및 다른 소프트웨어 모듈은 어플리케이션과 같은 권한으로 실행된다. 이러한 취약한 컴포넌트를 악용해 공격하는 경우 심각한 데이터 손실이 발생하거나 서버가 장악된다. 알려진 취약점이 있는 컴포넌트를 사용하는 어플리케이션과 API는 어플리케이션을 약화시키고 다양한 공격에 영향을 줄 수 있다.
▲ OWASP TOP 10 불충분한 로깅과 모니터링[자료=블랙팔콘 이지혜]
△ 불충분한 로깅과 모니터링
불충분한 로깅 및 모니터링은 사고 대응의 누락 또는 비효율적인 통합과 함께 공격자가 시스템을 더 공격하고 더 많은 시스템으로 피봇하며, 데이터를 변조나 추출 또는 파괴할 수 있다. 대부분의 침해사례는 침해가 200일 이상 걸리는 것을 감지할 수 있는 시간을 보여주며 일반적으로 내부 프로세스나 모니터링보다는 외부 당사자가 탐지한다.
한편, 블랙 팔콘팀은 최신 익스플로잇(exploit) 기술 분석 이외에 OWASP와 같은 중요 기술문서에 대한 번역 프로젝트를 주요 과제로 삼고 있다. 블랙 팔콘팀은 이러한 작업이 보안에 종사하는 사람들에게 유익한 자료가 되었으면 하는 바람으로 프로젝트를 시작하게 됐다고 밝혔으며, 현재 OWASP TOP 10외에 SANS, Testing Guide 등 중요 기술 문서를 번역 중인 것으로 알려졌다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-11-01] 
