엔지니어링 여행 노트

안녕하세요. 여행자K입니다. 이번에는 OWASP API Security Top 10 2023 리스트의 아홉 번째 주제인 API09:2023 Improper Inventory Management (부적절한 자산 관리)에 대해 심도 있게 다루고자 합니다. 이 취약점은 조직이 모든 API 버전과 환경을 제대로 추적하고 보호하지 못할 때 발생하는 중대한 API 보안 위험입니다. 부적절한 자산 관리는 민감한 데이터 유출로 이어질 수 있으며, 공격자에게 중요한 시스템에 대한 무단 접근 권한을 제공할 위험이 있습니다. Improper Inventory Management(부적절한 자산 관리)란? 부적절한 자산 관리는 API 자산 목록의 부족과 폐기 전략의 부재로 인해, 패치되지 않은 시스템을 운영하게 되어..

안녕하세요. 여행자K입니다.이번에는 OWASP API Security Top 10 2023 리스트의 여덟 번째 주제, API8:2023 Security Misconfiguration (보안 설정 오류)에 대해 자세히 알아보겠습니다. API 보안에서 가장 흔하지만, 매우 위험한 취약점 중 하나로 꼽히는 보안 설정 오류는 작은 실수 하나로도 심각한 보안 사고를 초래할 수 있습니다. 본 포스팅을 통해 이 위협을 함께 파악하고, 효과적인 예방 전략을 모색하고자 합니다.Security Misconfiguration(보안 설정 오류)란? 보안 설정 오류는 API 스택의 네트워크 계층부터 애플리케이션 계층에 이르기까지 모든 수준에서 발생할 수 있는 광범위한 보안 문제입니다. 이는 의도치 않게 취약점을 초래하며,..

안녕하세요 여행자K 입니다.이번에는 OWASP API Security Top 10 2023의 일곱 번째 항목인 API07:2023 Server Side Request Forgery (SSRF)에 대해 자세히 알아보겠습니다. SSRF는 서버 측 요청 위조로, 사용자 입력 URL에 대한 유효성 검사 없이 원격 리소스를 가져올 때 발생하는 심각한 취약점입니다. SSRF (서버 측 요청 위조)란? Server-Side Request Forgery (SSRF)는 API가 사용자가 제공한 URL의 유효성을 충분히 검증하지 않은 채 원격 리소스를 요청할 때 발생하는 취약점을 의미합니다. 공격자는 이러한 취약점을 악용하여 애플리케이션이 외부로 나가는 요청을 조작하고, 원래 의도하지 않았던 내부 시스템이나 다른..

안녕하세요, 여행자 K입니다. 오늘은 OWASP API Security Top 10 2023의 여섯 번째 항목인 'API06:2023 Unrestricted Access to Sensitive Business Flows(민감한 비즈니스 흐름에 대한 무제한 접근)'에 대해 살펴보겠습니다. 이 취약점은 단순히 데이터 유출을 넘어, 비즈니스 로직 자체를 악용하여 실제 재정적 손실이나 서비스 방해를 일으킬 수 있는 매우 위험한 문제입니다. 어떻게 악용될 수 있는지, 그리고 우리의 비즈니스와 API를 보호하기 위한 방안은 무엇인지 알아보겠습니다. API06:2023 Unrestricted Access to Sensitive Business Flows(민감한 비즈니스 흐름에 대한 제한 없는 접근)이란? ..

안녕하세요 여행자 K입니다. 이번에는 OWASP API Security Top 10 2023의 다섯 번째 항목인 'API05:2023 Broken Function Level Authorization(부적절한 기능 수준 권한 부여)'에 대해 깊이 있게 알아보는 시간을 갖겠습니다. 이 취약점은 단순히 데이터 접근을 넘어, 시스템의 특정 기능을 제어하는 권한과 관련되어 있으며, 예상치 못한 심각한 결과를 초래할 수 있습니다. 왜 이 취약점이 중요하며, 어떻게 우리의 시스템을 안전하게 보호할 수 있는지 살펴보겠습니다. API05:2023 Broken Function Level Authorization(부적절한 기능 수준 권한 부여)이란? 'Broken Function Level Authorization..

안녕하세요 여행자 K입니다.OWASP API Security Top 10 2023의 네 번째 항목인 'API04:2023 Unrestricted Resource Consumption(제한 없는 리소스 소비)'에 대해 자세히 알아보겠습니다. API는 현대 웹 서비스의 핵심 요소이지만, 리소스 관리 소홀은 서비스 전체에 치명적인 영향을 줄 수 있는 중요한 취약점입니다. API04:2023 Unrestricted Resource Consumption이란? API04:2023 Unrestricted Resource Consumption은 API가 요청에 대한 리소스(CPU, 메모리, 네트워크 대역폭, 스토리지 등) 사용량을 적절히 제한하지 않아 발생하는 취약점입니다 . 공격자가 이러한 제한 없는 리소..

안녕하세요 여행자 K입니다. 오늘은 API 보안에서 간과하기 쉽지만, 치명적인 결과를 초래할 수 있는 'API03:2023 Broken Object Property Level Authorization(부적절한 객체 속성 수준 권한 부여)'에 대해 자세히 알아보는 세 번째 시간을 갖겠습니다. 이 취약점이 무엇이며, 왜 중요한지, 그리고 우리 시스템을 어떻게 보호해야 하는지 함께 살펴보겠습니다. API03:2023 Broken Object Property Level Authorization이란? 'Broken Object Property Level Authorization'은 API 엔드포인트를 통해 특정 객체에 접근을 허용할 때, 해당 사용자가 객체의 특정 속성(property)에 접근하거나 조..

안녕하세요, 여행자 K입니다.지난번 API01:2023 Broken Object Level Authorization(BOLA)에 이어, 이번에는 OWASP API Security Top 10 2023의 두 번째 항목, 'API02:2023 Broken Authentication(부적절한 인증)'에 대해 자세히 알아보겠습니다. 이는 시스템의 출입 통제와 사용자 신원 확인 절차가 얼마나 중요한지 보여주는 취약점입니다. API02:2023 Broken Authentication(부적절한 인증)이란? API2:2023 Broken Authentication은 시스템에 접근하는 사용자의 신원 확인 절차(인증)나 시스템 자체의 보안 잠금장치에 결함이 있을 때 발생하는 취약점을 의미합니다. API는 외부와 ..

안녕하세요 여행자 K입니다. 이번에는 API 보안에서 가장 흔하고 치명적인 취약점 중 하나이자, OWASP API Security Top 10 2023에서 첫 번째로 꼽힌 'API01:2023 Broken Object Level Authorization (이하 BOLA)'에 대해 자세히 알아보고자 합니다. 왜 이 취약점이 그토록 위험하며, 어떻게 우리 시스템을 보호해야 하는지 알아보겠습니다. API01:2023 Broken Object Level Authorization (BOLA)이란? 'Broken Object Level Authorization'은 말 그대로 객체 수준의 권한 부여(Authorization)가 제대로 작동하지 않아 발생하는 취약점입니다. 이는 API가 특정 리소스(객체)에 ..

안녕하세요, 여행자 K입니다. 우리는 지난 글에서 API가 어떻게 다양한 시스템과 애플리케이션을 연결하고, 디지털 생태계의 핵심적인 역할을 하는지 살펴보았습니다. API는 현대 소프트웨어 개발에서 없어서는 안 될 요소가 되었지만, 그만큼 새로운 보안 위협의 통로가 될 수도 있습니다. 마치 도시의 중요한 도로가 잘 연결되어야 하지만, 동시에 외부 침입으로부터 안전하게 보호되어야 하는 것과 같습니다. 이번 글에서는 API의 안전을 지키는 것에 대해 이야기하고자 합니다. 특히, 전 세계적으로 인정받는 애플리케이션 보안 표준인 OWASP(Open Worldwide Application Security Project)에서 발표한 'OWASP API Security Top 10 2023'을 중심으로, API 보안의..