[20250407] 웹 보안 문제 필기

1. 웹 보안 문제와 그 방어법

1-1. 웹 리다이렉트 공격과 피해 예시
- 웹 리다이렉트는 사용자 악성 사이트로 유도하는 공격 방식임
- 공격자는 사용자의 로그인 페이지를 공격 웹사이트로 리다이렉트시키는 방식으로 공격을 시도함
- 피싱 사이트를 만들어 사용자에게 로그인 요청을 계속해서 보내는 공격 시나리오를 예로 듦
- 공격 시나리오에서는 사용자의 리다이렉트 URL이 공격자가 만든 피싱 사이트로 가게 됨
- 공격자는 이후 사용자의 개인정보를 입력하도록 요구하며, 이를 통해 문제를 일으킬 수 있음

1-2. 웹 보안 문제 해결 방안
- 허용된 URL 목록을 사용하는 것이 첫 번째 방안임
- 미리 허용된 링크들만 리다이렉트하도록 설정하여 문제를 방지함
- 입력 검증을 통해 불법적인 링크를 검증함
- 상대 경로를 사용하여 패스를 만드는 방법도 제시함

1-3. 디렉트 트래버 쳐인 공격과 그 방어법
- 디렉트 트래버 쳐인은 사용자가 허용되지 않은 파일이나 디렉토리에 접근하는 공격임
- 공격자는 사용자의 파일 경로를 이용하여 허용되지 않은 디렉터리로 접근함
- 디렉트 트래버 쳐인 공격을 방어하기 위해서는 웹 서버 설정 및 경로 검증, 파일 목록 미리 설정 등이 필요함
- 이 외에도 특정 파일만 접근 가능하도록 설정하여 디렉트 트래버 쳐인을 방지함

2. 웹 사이트 공격과 방어 방법

2-1. 웹사이트 공격 유형과 특징
- 웹사이트 공격 방식 중 하나인 클릭 재킹은 사용자가 클릭하도록 유도하는 공격임
- 공격자는 사용자의 주의를 얻기 위해 투명한 프레임을 사용하고 웹사이트에 아이프레임을 삽입함
- 사용자는 웹사이트를 투명하게 만들기 위해 필요한 헤더 값을 조정하거나 특정 헤더를 삭제해야 함
- 클릭 재킹을 방어하기 위해 패키지 별로 공격 유형을 피하거나 특정 헤더를 삭제해야 함

2-2. 공격 방식과 예시
- 공격자들은 다양한 방법으로 웹사이트 사용자를 피해자로 만들려고 시도함
- 공격자는 사용자의 주의를 얻기 위해 웹사이트에 아이프레임을 삽입하거나 사용자 편의를 위해 일부 버튼을 눌러서 웹사이트에 액션을 유도함
- 공격자의 웹사이트에 사용된 투명도를 조절하거나 특정 헤더 값을 조정하여 사용자의 웹사이트를 아이프레임으로 포함하지 못하게 함

2-3. 공격 방어 기법과 암호화
- 공격 방어 기법 중 하나는 데이터 암호화로, 암호화를 통해 데이터를 안전하게 보호함
- 민감한 데이터를 저장할 때는 암호화를 통해 보호하며, 이는 통신법에 따라 결정됨
- 암호화는 사용자 기호나 비밀번호 등 민감한 정보를 안전하게 보호하는 방법임
- 강력한 암호 정책을 설정하여 데이터를 안전하게 보호함

3. 웹 프로토콜의 보안과 직렬화

3-1. 웹 프로토콜의 보안 기능
- 웹에서 데이터 전송을 보안하는 프로토콜이 있음
- 보안이 되어 있는 프로토콜은 데이터가 암호화되어 안전하게 전송됨
- 속도는 일반 프로토콜보다 빠르지만 보안이 취약함
- 비밀번호를 보호하는 데 문제가 있어 보안이 중요하지 않은 웹사이트에서 주로 사용됨

3-2. 보안이 강한 웹사이트의 특징
- 보안이 강한 웹사이트에서는 데이터의 기밀성과 무결성을 보장함
- 사용자의 개인정보와 민감한 데이터를 보호함
- 보안이 중요한 웹사이트는 보안적으로 안전한 프로토콜을 사용함
- 대부분의 현대 웹사이트는 보안이 강한 프로토콜, HTTPS를 사용함

3-3. 직렬화의 개념과 위험성
- 직렬화는 객체의 상태를 바이트 스트림 형태로 변환하는 과정임
- 역직렬화는 바이트 스트림으로 변환된 객체 데이터를 원래 객체 형태로 되돌림
- 전자상거래 사이트에서, 구매 내역을 업로드할 때 직렬화된 데이터를 생성할 수 있음
- 직렬화된 데이터를 역직렬할 때 악성코드가 실행될 수 있으므로 데이터 검증이 필요함

4. 디지털 보안과 취약점 대응

4-1. 디지털 보안과 취약점 이해
- 디지털 보안은 하드웨어와 소프트웨어에 대해 검증된 라이브러리를 사용함
- 취약점은 시스템의 보안이 취약할 수 있는 라이브러리의 취약점을 의미함
- 보안 강화를 위해 직렬화 및 역직렬화 과정이 필요함
- 애플리케이션이 적절한 로그를 기록하지 않으면 공격을 조기에 발견하지 못하는 문제가 발생함

4-2. 공격 시나리오와 방어 기법
- 공격 시나리오는 로깅을 잘 작성하고, 중요한 이벤트를 로그로 기록하는 것이 중요함
- 실시간 모니터링을 통해 이상 행동을 빠르게 인지하여 공격을 발견할 수 있어야 함
- 로그를 주기적으로 검토하여 이상 증후가 있는지 없는지 체크하는 것이 중요함
- 이상하게 설명을 드리는 부분은 어플리케이션의 적절한 로그 기록을 위한 검증 과정을 나타냄

4-3. 디자인 보안 패치와 기업 대응
- 디자인 보안 패치는 공격에 대비하여 시스템의 취약점을 식별하고 개선하는 작업임
- 패치는 해당 취약점을 참조할 때 일관된 명칭을 제공하여 커뮤니케이션을 용이하게 함
- 아파치 재단은 자사의 보안 업데이트 프로그램 로그 포 제이를 제공하였음
- 해당 패치를 통해 기업은 자체 보안 시스템을 더욱 강화하였음