개념 사전 · 관리체계
OWASP와 웹 보안 검증
Open Worldwide Application Security Project · 오와스프
OWASP는 애플리케이션 보안 지식과 검증 자료를 공개하는 커뮤니티와 프로젝트의 모음이다. 은 위험 분류, 는 , 는 시험 방법을 읽는 출발점이다.
밑줄 용어에 마우스를 올리거나, 키보드로 선택하거나, 터치하면 설명을 볼 수 있습니다.
01무엇이고, 어떤 일을 하나
- 위험 유형을 팀에서 같은 용어로 설명한다.
- 구현과 설계의 을 검증 가능한 조건으로 바꾼다.
- 시험 범위·재현 절차·수정 후 확인 항목을 연결한다.
02어떤 순서로 동작하나
- 행위와 영향 기록
요청·권한·상태 변화에서 관찰한 사실을 먼저 정리한다. 오류 문구 하나를 취약점으로 확정하지 않는다.
- 깨진 경계 식별
인증··입력 해석·저장·공급망·예외 처리 중 어떤 경계가 원인인지 찾는다.
- 판본과 범주 지정
분류의 연도와 정식 이름을 함께 선택한다. 여러 통제가 연관되면 원인과 영향의 관계를 설명한다.
- 요구·시험 연결
의 요구와 의 시험 관점을 이용해 정상 결과와 거부 조건을 구체화한다.
- 수정 후 재검증
원래 재현 입력과 정상 기능을 함께 시험하고 관찰 범위·남은 조건을 기록한다.
03먼저 알아둘 용어와 구성요소
- 특정 판에서 선정한 주요 애플리케이션 범주.
- 애플리케이션 보안 을 구조화한 검증 표준.
- 웹 보안 시험 접근과 절차를 정리한 가이드.
- 소프트웨어·하드웨어 약점 유형을 분류하는 체계.
- 특정 보안 문제의 구현·방어 권고를 모은 문서.
- 준수 여부를 구체적으로 시험하거나 증거로 확인할 수 있는 조건.
04예제로 따라가기
- 대상 고정: 문서 하나에 소유자·공유 사용자·외부 사용자 세 역할을 두고 읽기·수정·삭제 세 행동을 시험한다고 가정한다.
- 경우의 수: 역할 3×행동 3=9개 조합이다. 소유자는 세 행동, 공유 사용자는 읽기, 외부 사용자는 모두 거부하도록 정책을 정한다.
- 기대값 작성: 허용 4개·거부 5개를 시험 전에 적는다. 실제 응답을 본 뒤 기대값을 맞춰 바꾸면 결함을 숨기게 된다.
- 실제 증거: 각 조합에서 상태 코드뿐 아니라 본문 노출·DB 변경·감사 결과를 기록한다. 200 응답에 오류 메시지가 있는 경우도 결과를 분리한다.
- 범위 확장 판단: 9개가 통과해도 검색·첨부·다른 Tenant·비동기 내보내기는 별도 경로다. 이번 검증의 분모를 9로 명확히 적는다.
05혼동하기 쉬운 점과 확인 기준
- 항목 수 착시: 문서에 위험 이름이 많다는 사실과 실제 시험 사례가 많다는 사실은 다르다. 요구사항마다 재현 가능한 증거의 유무를 본다.
- 원인 중복: 같은 누락 때문에 생긴 API 여러 건을 각각 다른 근본 원인으로 세지 않는다. 영향 경로 수와 원인 수를 분리한다.
- 판본 혼합: 서로 다른 · 판본의 번호를 이름 없이 섞으면 추적이 끊긴다. 번호·명칭·판본을 함께 보존한다.
06상세 노트 · 실습 자료
헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.
공식 문서 · 표준
기초 개념과 동작 설명을 대조한 자료입니다. 제품 버전과 실제 설정에 따른 차이는 본문 및 원문에서 확인하세요.