OWASP를 학습과 점검에 연결하기

01개념과 구성 요소

• Top 10주요 웹 애플리케이션 위험을 설명하는 공통 분류다. 모든 시험 항목을 담은 완전한 체크리스트는 아니다.
• 판본2017·2021·2025는 같은 A번호라도 이름과 범위가 다를 수 있다.
• 연결 자료CWE는 약점 유형, CVE는 특정 취약점 식별, ASVS는 검증 요구, WSTG는 시험 방법과 연결된다.

02관찰된 결함을 분류하고 검증 항목으로 바꾸는 순서

1. 행위와 영향 기록요청·권한·상태 변화에서 관찰한 사실을 먼저 정리한다. 오류 문구 하나를 취약점으로 확정하지 않는다.
2. 깨진 경계 식별인증·인가·입력 해석·저장·공급망·예외 처리 중 어떤 경계가 원인인지 찾는다.
3. 판본과 범주 지정분류의 연도와 정식 이름을 함께 선택한다. 여러 통제가 연관되면 원인과 영향의 관계를 설명한다.
4. 요구·시험 연결ASVS의 요구와 WSTG의 시험 관점을 이용해 정상 결과와 거부 조건을 구체화한다.
5. 수정 후 재검증원래 재현 입력과 정상 기능을 함께 시험하고 관찰 범위·남은 조건을 기록한다.

03Top 10은 위험 분류와 공통 언어

• 분류의 목적OWASP Top 10은 웹 애플리케이션의 주요 보안 위험을 이해하는 인식 문서다. “열 가지 공격 문자열 목록”이나 모든 시스템에 동일하게 적용하는 완전한 점검표가 아니다.
• 중복되는 원인한 기능에서 접근통제·입력 해석·인증·로그 문제가 함께 발생할 수 있으므로 번호를 외우는 것보다 데이터 흐름과 보호 경계를 설명하는 데 사용한다.
• 판본별 번호OWASP Top 10에는 2017·2021·2025 등 서로 다른 판본이 있다. 같은 A번호가 다른 연도에는 다른 항목을 가리킬 수 있어 보고서에 A01만 쓰면 의미가 불명확하다.
• 표기 방식연도·정식 이름·관련 취약점 유형을 함께 적어 판본별 분류를 구분한다.

042025의 열 범주를 질문으로 읽기

• 2025 목록2025 목록은 접근통제, 보안 설정, 공급망, 암호, 인젝션, 설계, 인증, 무결성, 로그·경보, 예외 처리를 다룬다. 각각은 특정 제품 이름이 아니라 실패가 발생하는 영역이다.
• 경계별 질문예를 들어 입력을 DB 코드에 연결한 결함과 관리자 URL의 권한 누락은 모두 웹 취약점이지만 고치는 경계가 다르다.

052017·2021의 개별 항목을 잃지 않기

• 2017 항목2017에는 XXE·XSS·안전하지 않은 역직렬화가 각각 명시된 범주였고 이후 개정에서는 더 넓은 실패 영역으로 묶인 항목들이 있다. 순위표에서 독립 이름이 없어졌다고 해당 기술이 사라지거나 안전해진 것은 아니다.
• 분류와 개념XML 파서의 외부 자원 해석, HTML/JavaScript 출력 문맥, 객체 복원 기능의 실행 동작을 별도로 이해해야 한다.
• 2021 개편2021에는 Cryptographic Failures·Insecure Design·Software and Data Integrity Failures·SSRF 등으로 분류가 재편되었다. 2021 A10은 SSRF이고 2025 A10은 예외 조건의 부적절한 처리이므로 같은 항목이 아니다.
• 판본 연결과거 항목을 현재 분류에 연결할 때도 당시 이름과 의미를 함께 남긴다.

06구현 결함과 설계 결함

• 구현 결함구현 결함은 코드가 의도한 보안 조건을 제대로 적용하지 않은 경우다. 예를 들어 prepared statement를 쓰려 했지만 특정 검색 경로만 문자열 SQL을 만들면 구현 경로가 문제다.
• 설계 결함설계 결함은 가격을 클라이언트가 결정하게 하거나 계정 복구를 공개된 개인 정보만으로 허용하는 등 보안 조건 자체가 부족한 경우다.
• 업무 규칙입력 필터를 추가해도 서버가 상품 가격·소유권·작업 상태를 authoritative하게 판단하지 않으면 업무 조작이 남는다. 쿠폰·수량·금액의 업무 규칙 위반은 특수문자 제거만으로 해결되지 않는다.
• 정상 입력의 조합정상적으로 보이는 입력의 조합과 순서도 위협 모델에 포함해야 한다.

07공급망·무결성·암호는 겹치지만 다른 질문

• 공급망·무결성의존성의 알려진 취약점은 사용 버전·기능·패치 상태를 대조하고, 빌드·배포 아티팩트의 무결성은 신뢰한 경로에서 만들어진 바이트인지 검증한다. 서명된 악성 기능이나 안전하지 않은 코드가 있을 수도 있으므로 서명이 존재한다는 사실과 취약점이 없다는 사실은 다르다.
• 암호 사용 실패암호화 실패도 알고리즘 이름만의 문제가 아니다. 안전한 알고리즘을 사용해도 nonce 재사용, 키 노출, 인증서 검증 누락, 비밀번호의 빠른 일반 해시 저장으로 목적을 달성하지 못할 수 있다.
• Salt의 역할Salt는 비밀번호 해시의 동일 입력 비교와 사전 계산 공격을 어렵게 하는 값이며 일반 암호화의 비밀키와 역할이 다르다.

08로그·경보와 예외의 정상 동작

• 기록과 조치로그 범주는 중요한 행위를 기록하지 않거나 분석·통지로 이어지지 않아 사건을 알 수 없는 문제를 다룬다. 로그가 쌓인다는 사실과 조사에 필요한 사용자·대상·결과·시각이 있다는 사실은 다르다.
• 로그 신뢰로컬 로그만 공격자 권한으로 변경 가능한 환경과 중앙 원본 보존 환경도 증거 가용성이 다르다.
• 예외의 상태 처리예외 처리에서는 인증 서비스 timeout을 로그인 성공으로 해석하는 fail-open, 오류 시 DB 연결을 돌려주지 않는 자원 누수, 부분 처리 후 일관성 없는 상태 등을 생각할 수 있다. HTTP 500을 숨기는 것만으로 내부 상태가 안전해지지는 않는다.
• 거부·시간 초과정상 결과·거부·시간 초과가 각각 어떤 상태 전이를 하는지 설계해야 한다.

09CWE·CVE·ASVS·WSTG의 관계

• CWE·CVECWE는 약점 유형, CVE는 공개된 개별 취약점 식별, Top 10은 넓은 위험 분류이다. ASVS는 검증 가능한 보안 요구사항, WSTG는 웹 보안 시험 접근과 절차를 구체화하는 데 사용한다.
• ASVS·WSTG서로 대체 관계가 아니므로 “A05를 검사했다”만으로 모든 인젝션 요구사항과 입력 경로가 검증된 것은 아니다.
• 보고서 연결보고서에서는 사용한 버전과 항목 ID를 기록하고 기능의 source→변환→검증→sink→결과를 연결한다. 예를 들어 로그인 API의 문자열 SQL 결함은 A05 범주와 SQLi 약점, 해당 시험 절차와 수정 요구사항을 함께 가질 수 있다.
• 적용 조건실제 적용 여부는 코드·입력·응답·상태 증거가 결정한다.

13분류를 학습 문서와 시험 범위로 연결하기

• 세부 주제 연결이 사이트의 SQLi·XSS·CSRF·접근통제·파일 처리·SSRF 문서는 위험 범주를 구체적인 처리 경계로 나누어 설명한다. 암호·인증·관제 문서는 예방과 탐지의 조건을 이어 준다.
• 중첩된 통제한 카테고리에 링크가 있다고 그 항목을 실제 환경에서 모두 시험했다는 의미는 아니다.
• 지식과 증거분류표에 있는 이름과 실제 재현·수정 증거는 구분한다. 개념 설명에는 성립 조건을, 시험 결과에는 입력·버전·관찰값을 연결한다.
• 분류의 한계범주 목록을 성과나 인증 취득의 증거로 사용하지 않는다.