OWASP Top 10 취약점 완벽 가이드 (2024)

웹 애플리케이션 보안은 현대 개발에서 가장 중요한 요소 중 하나입니다. OWASP(Open Web Application Security Project)는 매년 가장 위험한 웹 애플리케이션 보안 위험 목록을 발표합니다. 이 가이드에서는 2024년 OWASP Top 10 취약점을 상세히 알아보겠습니다.

1. Broken Access Control (취약한 접근 제어)

설명

사용자가 자신의 권한을 넘어서 데이터나 기능에 접근할 수 있는 취약점입니다.

예시

// 취약한 코드
app.get('/user/:id/profile', (req, res) => {
  const userId = req.params.id;
  // 현재 로그인한 사용자와 요청한 ID 비교 없음
  const profile = getUserProfile(userId);
  res.json(profile);
});

// 안전한 코드
app.get('/user/:id/profile', authenticateUser, (req, res) => {
  const userId = req.params.id;
  // 권한 검증 추가
  if (req.user.id !== userId && !req.user.isAdmin) {
    return res.status(403).json({ error: '권한이 없습니다' });
  }
  const profile = getUserProfile(userId);
  res.json(profile);
});

방어 방법

• 모든 API 엔드포인트에 접근 제어 구현
• 세션 기반 또는 JWT 기반 인증 사용
• 최소 권한 원칙 적용

2. Cryptographic Failures (암호화 실패)

설명

민감한 데이터를 적절히 암호화하지 않거나 약한 암호화를 사용하는 경우 발생합니다.

방어 방법

• HTTPS를 사용하여 전송 중 데이터 암호화
• 비밀번호는 bcrypt, Argon2와 같은 강력한 해시 알고리즘 사용
• 민감한 데이터는 암호화하여 저장

// bcrypt를 사용한 비밀번호 해싱
const bcrypt = require('bcrypt');

async function hashPassword(password) {
  const saltRounds = 10;
  return await bcrypt.hash(password, saltRounds);
}

async function verifyPassword(password, hash) {
  return await bcrypt.compare(password, hash);
}

3. Injection (인젝션)

설명

신뢰할 수 없는 데이터가 명령어나 쿼리의 일부로 전송될 때 발생합니다.

SQL Injection 예시

// 취약한 코드
const query = `SELECT * FROM users WHERE username = '${username}' AND password = '${password}'`;

// 안전한 코드 (Prepared Statements 사용)
const query = 'SELECT * FROM users WHERE username = ? AND password = ?';
db.query(query, [username, hashedPassword]);

방어 방법

• Prepared Statements 또는 Parameterized Queries 사용
• ORM(Sequelize, TypeORM 등) 사용
• 입력값 검증 및 이스케이프 처리

4. Insecure Design (안전하지 않은 설계)

설명

설계 단계에서의 보안 결함으로, 구현으로는 해결할 수 없는 문제입니다.

방어 방법

• 위협 모델링 수행
• 보안 설계 패턴 적용
• 개발 초기 단계부터 보안 고려

5. Security Misconfiguration (보안 구성 오류)

설명

불완전하거나 잘못된 보안 설정으로 인한 취약점입니다.

체크리스트

• 불필요한 기능, 페이지, 계정 제거
• 기본 계정 및 비밀번호 변경
• 상세한 에러 메시지 비활성화
• 보안 헤더 설정 (CSP, HSTS 등)

// Express.js 보안 헤더 설정
const helmet = require('helmet');
app.use(helmet());

// 상세 에러 메시지 숨김
app.use((err, req, res, next) => {
  console.error(err.stack);
  res.status(500).json({
    error: process.env.NODE_ENV === 'production'
      ? '서버 오류가 발생했습니다'
      : err.message
  });
});

6. Vulnerable and Outdated Components (취약한 구성요소)

설명

알려진 취약점이 있는 오래된 라이브러리나 프레임워크를 사용하는 경우입니다.

방어 방법

• 정기적으로 의존성 업데이트
• npm audit 또는 yarn audit 실행
• Dependabot, Snyk 등의 도구 활용

# 취약점 확인
npm audit

# 자동 수정
npm audit fix

# 강제 업데이트
npm audit fix --force

7. Identification and Authentication Failures (인증 실패)

설명

약한 인증 메커니즘으로 인한 취약점입니다.

방어 방법

• 다단계 인증(MFA) 구현
• 강력한 비밀번호 정책 적용
• 세션 타임아웃 설정
• Brute Force 공격 방지

// Rate Limiting 적용
const rateLimit = require('express-rate-limit');

const loginLimiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15분
  max: 5, // 최대 5회 시도
  message: '너무 많은 로그인 시도입니다. 15분 후 다시 시도해주세요.'
});

app.post('/login', loginLimiter, loginHandler);

8. Software and Data Integrity Failures (소프트웨어 및 데이터 무결성 실패)

설명

코드 및 인프라가 무결성을 검증하지 않는 경우 발생합니다.

방어 방법

• CI/CD 파이프라인에 보안 스캔 통합
• 디지털 서명 사용
• Subresource Integrity (SRI) 적용

<!-- SRI를 사용한 외부 스크립트 로드 -->
<script
  src="https://cdn.example.com/library.js"
  integrity="sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K/uxy9rx7HNQlGYl1kPzQho1wx4JwY8wC"
  crossorigin="anonymous">
</script>

9. Security Logging and Monitoring Failures (로깅 및 모니터링 실패)

설명

보안 이벤트를 적절히 로깅하고 모니터링하지 않아 공격을 감지하지 못하는 경우입니다.

방어 방법

• 모든 인증 시도 로깅
• 중요한 트랜잭션 로깅
• 실시간 모니터링 및 알림 설정

// Winston을 사용한 보안 로깅
const winston = require('winston');

const securityLogger = winston.createLogger({
  level: 'info',
  format: winston.format.json(),
  transports: [
    new winston.transports.File({ filename: 'security.log' })
  ]
});

// 로그인 시도 기록
app.post('/login', (req, res) => {
  securityLogger.info({
    event: 'login_attempt',
    username: req.body.username,
    ip: req.ip,
    timestamp: new Date(),
    userAgent: req.get('user-agent')
  });
  // 로그인 로직...
});

10. Server-Side Request Forgery (SSRF)

설명

애플리케이션이 사용자 입력을 검증하지 않고 원격 리소스를 가져올 때 발생합니다.

예시

// 취약한 코드
app.get('/fetch', async (req, res) => {
  const url = req.query.url;
  const response = await fetch(url); // 위험!
  res.send(await response.text());
});

// 안전한 코드
app.get('/fetch', async (req, res) => {
  const url = req.query.url;

  // URL 화이트리스트 검증
  const allowedDomains = ['api.example.com', 'cdn.example.com'];
  const urlObj = new URL(url);

  if (!allowedDomains.includes(urlObj.hostname)) {
    return res.status(403).json({ error: '허용되지 않은 도메인입니다' });
  }

  const response = await fetch(url);
  res.send(await response.text());
});

VibeScan으로 자동 취약점 스캔

모든 OWASP Top 10 취약점을 수동으로 점검하는 것은 시간이 많이 걸립니다. VibeScan을 사용하면 12,000+ 취약점 패턴을 5분 안에 자동으로 검사할 수 있습니다.

VibeScan의 장점

• ✅ OWASP Top 10 전체 자동 스캔
• ✅ Nuclei & ZAP 엔진 기반
• ✅ AI 기반 취약점 우선순위 분석
• ✅ 즉시 적용 가능한 수정 코드 제공

결론

OWASP Top 10은 웹 애플리케이션 보안의 기초입니다. 각 취약점을 이해하고 적절한 방어 방법을 적용하면 대부분의 보안 사고를 예방할 수 있습니다.

보안은 한 번에 완성되는 것이 아니라 지속적인 노력이 필요합니다. VibeScan과 함께 정기적인 보안 점검을 통해 안전한 웹 애플리케이션을 유지하세요.

---

참고 자료:

• OWASP Top 10 2021 공식 문서
• OWASP Cheat Sheet Series