OWASP (Open Web Application Security Project)는 애플리케이션 보안에 대한 편견없는 실질적인 정보를 제공하기 위해 설립된 비영리 조직입니다. OWASP Top 10은 가장 중요한 웹 애플리케이션 보안 결함을 보여줍니다. 이러한 취약점은 웹 애플리케이션에서 자주 발생하며 해커가 시스템을 탈취하여 중요한 데이터를 훔칠 수 있게하므로 위험합니다. 보안 사고는 웹 애플리케이션 계층을 통해 계속 확산되고 있어, 기업과 조직은 새로운 보안 방법이 필요할 것입니다. AIONCLOUD은 OWASP Top 10에 대해 완벽한 보호 기능을 제공합니다. 아래는 AIONCLOUD가 상위 10가지 취약점을 보호하는 방법입니다. 1. Injection SQL, OS, LDAP, Xpath 또는 NoSQL과 같은 Injection 결함은 애플리케이션이 신뢰할 수 없는 데이터의 명령이나 쿼리의 일부를 해석기로 보낼 때 발생합니다. 해커는 해석기의 문법을 악용하여 간단한 텍스트 기반 공격을 보내고 해석기를 보호 데이터에 접속하게 하여 의도하지 않은 명령을 실행하도록 속입니다. Injection은 데이터 손실과 서비스 거부에 영향을 미칩니다. AIONCLOUD는 두 가지 보안 정책을 사용하여 Injection 공격으로부터 보호할 수 있습니다. – SQL Injection 탐지 : HTTP 요청 데이터를 검사하여 SQL Injection 공격을 탐지합니다 – 명령어 Injection 탐지 : 주요 시스템 명령어를 사용하여 웹 서버의 정보를 훔치거나 서비스 실패를 일으키는 명령 Injection 공격을 탐지하기 위해 HTTP 요청 데이터를 검사합니다. 2. 취약한 인증 종종 인증이 제대로 관리되지 않기 때문에 해커는 암호, 키를 악용하여 사용자의 신원을 가장합니다. 일단 계정이 공격 받으면 해커는 인증을 통해 무엇이든 할 수 있습니다. AIONCLOUD는 쿠키 위조 탐지를 통해 이 취약점에 대응합니다. – 쿠키 위조 탐지 : 다른 쿠키를 사용하여 웹 서버를 공격한 해커를 탐지합니다. 3. 민감한 데이터 노출 중요한 데이터가 제대로 보호되고 암호화되지 않은 경우. 해커는 신용 카드 사기, 신원 도용 또는 기타 범죄를 저지르기 위해 중요한 데이터를 훔치거나 변조합니다. 민감한 데이터에는 건강 기록, 주민등록 번호, 신용카드 번호 등 개인 정보가 포함되며 브라우저로 교환될 때 특별한 보호를 위해 예방 조치와 암호화가 필요합니다. AIONCLOUD는 2가지 보안정책을 사용하여 민감한 데이터의 노출을 방지할 수 있습니다. – SSL Termination : HTTPS 전송의 암호화 / 복호화를 통한 HTTPS 공격을 차단/탐지 합니다. – 개인정보의 유/출입 탐지: 사용자가 설정한 정책에 따라 HTTP 응답 데이터를 확인하여 송수신 데이터를 차단하고 주민번호나 카드번호에 해당하는 데이터는 마스킹할 수 있습니다. 4. XML 외부 개체 (XXE) 오래되고 설정이 엉망인 많은 XML 프로세서들은 XML 문서 내에서 외부 개체 참조를 평가합니다 . 외부 개체는 파일 URI 처리기, 내부 파일 공유, 내부 포트 스캔, 원격 코드 실행과 DoS 공격을 사용하여 내부 파일을 공개하는데 사용될 수 있습니다. 5. 취약한 접근 통제 인증된 사용자가 수행할 수 있는 작업에 대한 제한이 제대로 적용되어 있지 않습니다. 해커는 이런 결함을 악용하여 다른 사용자의 계정에 접근하거나, 중요한 파일을 보거나, 다른 사용자의 데이터를 변조하거나, 접근 권한을 변경하는 등 인가 받지 않은 기능과 데이터에 접근할 수 있습니다. 6. 잘못된 보안 설정 애플리케이션의 보안을 유지하려면 애플리케이션 서버, 애플리케이션 프레임 워크, 웹 서버, DB 서버, 소프트웨어에 대한 보안 설정을 정의하고 개발해야하며 소프트웨어를 최신 상태로 유지해야 합니다. 이 결함으로 인해 해커는 시스템 데이터나 기능에 접근할 수 있습니다. AIONCLOUD는 4 개의 정책을 통해 잘못된 보안 설정에 대응합니다. – 디렉토리 목록 : 웹 서버의 잘못된 설정으로 인해 웹 서버의 모든 디렉토리 및 파일 정보가 사용자에게 노출되는 취약점을 차단합니다. – 오류 페이지 Cloaking : 웹 서버의 내부 오류로 인해 오류 페이지가 전송되거나 웹 서버의 응답 코드가 지정된 오류 코드인 경우 지정된 페이지로 리디렉션 합니다. – 악성 파일 업로드 탐지 : 파일 업로드에 대한 규정이 없으면 웹 서버를 공격하기 위한 악성파일 실행을 차단합니다. – 기본 페이지 접근 탐지 : HTTP 요청 데이터를 검사하여 애플리케이션에서 사용되는 설치 / 샘플 / 라이브러리 파일에 대한 접근을 탐지합니다. 7. 교차 사이트 스크립팅 (XSS) XSS는 애플리케이션이 신뢰할 수 없는 데이터를 가져와 제대로 된 승인 없이 웹 브라우저에 전송할 때 발생합니다. 저장, 반영, DOM 기반 XSS 라는 세 가지 유형의 XSS가 있습니다. 해커는 브라우저에서 스크립트를 실행하여 사용자 세션을 탈취하고, 악의적인 내용을 삽입하여 웹사이트를 훼손할 수 있습니다. AIONCLOUD는 XSS에 대한 보호 기능을 제공합니다. – XSS 탐지 : HTTP 요청 데이터를 검사하여 XSS 공격을 탐지합니다. 8. 안전하지 않은 역직렬화 안전하지 않은 역직렬화는 종종 원격 코드 실행으로 이어집니다. 역직렬화 취약점이 원격 코드 실행 결과를 가져오지 않더라도 공격 재생, Injection 공격, 권한 상승 공격을 포함한 다양한 공격에 사용될 수 있습니다. 9. 알려진 취약점이 있는 구성요소 사용 라이브러리, 프레임 워크, 기타 소프트웨어 모듈과 같은 취약한 구성 요소는 전체 권한으로 실행되지만 스캐닝, 수동 분석, 커스터마이징된 공격 코드를 사용하여 악용될 수 있습니다. 취약한 구성 요소가 있는 애플리케이션은 방어를 약화시키고 예상 공격 및 영향 범위를 확장할 수 있습니다. AIONCLOUD는 애플리케이션 취약점 탐지를 통해 대응할 수 있습니다. – 애플리케이션 취약점 탐지 : HTTP 요청 데이터를 검사하여 웹 애플리케이션 취약점을 대상으로 한 공격을 탐지합니다. 10. 불충분한 로깅 & 모니터링 불충분한 로깅과 모니터링은 사고 대응의 비효율적인 통합 또는 누락과 함께 해커가 시스템을 더 공격하고, 지속성을 유지하며, 더 많은 시스템을 중심으로 공격할 수 있도록 만들고, 데이터를 변조/추출/파괴 할 수 있습니다. 대부분의 침해 사례는 침해를 탐지하는 시간이 200일 넘게 걸리는 것을 보여주고, 이는 일반적으로 내부 프로세스와 모니터링보다 외부 기관이 탐지합니다. 지금까지 AIONCLOUD 가 OWASP Top 10 취약점으로부터 웹사이트를 보호하는 방법을 살펴 보았습니다. 이러한 최신 보안 위협으로부터 웹사이트를 보호하는 것은 생각보다 간단합니다. AIONCLOUD는 강력한 보안 기능으로 OWASP Top 10에서 귀하의 웹사이트를 보호합니다. 간단한 정책 설정으로 웹사이트를 보호할 수 있는 AIONCLOUD의 무료 서비스를 신청해보세요!