웹 보안
웹 보안(web security)은 웹의 클라이언트, 서버와 네트워크에서 사용자 정보와 시스템의 기밀성, 무결성 및 가용성을 보호하는 기술과 운영 원칙이다. 웹 브라우저, 웹 서버, 웹 애플리케이션, 데이터베이스 및 외부 API가 하나의 서비스에 결합되므로 공격자는 여러 신뢰 경계를 이...
| 분류 | 정보 시스템 보안 분야 |
|---|---|
| 핵심 기능 | 웹 서비스의 기밀성·무결성·가용성 보호 |
| 관련 기술 | World Wide Web, HTML, 웹 브라우저, 웹 서버 |
| 참고 자료 | OWASP Web Security Testing Guide |
웹 보안(web security)은 웹의 클라이언트, 서버와 네트워크에서 사용자 정보와 시스템의 기밀성, 무결성 및 가용성을 보호하는 기술과 운영 원칙이다. 웹 브라우저, 웹 서버, 웹 애플리케이션, 데이터베이스 및 외부 API가 하나의 서비스에 결합되므로 공격자는 여러 신뢰 경계를 이용할 수 있다. 웹 보안은 단일 프로그램이나 프로토콜이 아니라 설계·개발·배포·운영 전반에 걸친 방어 체계다.
브라우저는 동일 출처 정책과 샌드박스 등으로 서로 다른 웹사이트의 실행 환경을 분리한다. HTTPS와 TLS는 통신 구간을 암호화하고 서버 인증을 제공하지만 취약한 애플리케이션의 잘못된 권한 부여나 입력 처리까지 해결하지는 않는다. CORS와 CSP는 각각 교차 출처 응답 공유와 콘텐츠 실행 범위를 제어하는 보조적인 보안 메커니즘이다.
웹 애플리케이션의 대표적인 취약점에는 XSS, SQL 인젝션, CSRF, 서버 측 요청 위조(SSRF), 인증 오류, 권한 검사 누락이 포함된다. 이들은 입력 데이터와 실행 코드의 혼동, 신뢰하지 않는 요청의 처리 또는 사용자별 접근 통제의 결함에서 발생할 수 있다. 방어하려면 입력 검증과 출력 인코딩, 매개변수화된 쿼리 및 서버 측 인가를 일관되게 적용해야 한다.
사용자 인증과 세션 관리는 암호의 안전한 저장, 다중 요소 인증, 쿠키 속성, 세션 만료 및 재발급 정책과 연결된다. 민감한 데이터는 전송 중뿐 아니라 서버 저장소와 백업에서도 보호해야 한다. 접근 권한은 요청마다 서버에서 확인해야 하며 클라이언트가 숨긴 버튼이나 경로는 보안 경계로 사용될 수 없다.
웹 보안의 검증에는 코드 검토와 자동화 검사, 취약점 재현, 구성 점검 및 침투 테스트 등이 활용된다. 의존성 패키지의 공급망 보안과 키 관리, 관측 로그, 사고 대응 및 신속한 패치 체계도 중요하다. 공개된 권고사항과 테스트 방법론은 공통적인 문제를 찾는 데 도움이 되지만 서비스의 업무 로직과 실제 위협 모델에 맞춘 분석을 추가해야 한다.[1]