소프트웨어 개발 업계에서는 관리되지 않는 오픈소스 프로그램과 도구에 심각한 보안 위험이 내재되어 있다는 사실을 이제 누구나 알고 있습니다. 그럼에도 불구하고 많은 기업이 이를 간과하여 해커에게 쉬운 공격 대상이 되곤 합니다. 안전하게 보호받고 해커보다 한 발 앞서 나가기 위해서는 시스템의 보안 취약점을 감지하는 방법과 이에 대한 보호 조치를 반드시 알아야 합니다.
보안 취약점 감지를 위한 보안 테스트란?
기업이 보안 취약점을 감지하려면 소프트웨어 테스트의 한 분야인 보안 테스트(Security Testing)를 활용해야 합니다. 보안 테스트는 시스템, 네트워크, 애플리케이션 개발 과정에서 발생하는 보안 결함을 식별하는 데 핵심적인 역할을 합니다.
보안 테스트의 정의
보안 테스트는 시스템의 보안 결함을 탐지하고, 이러한 취약점을 통해 데이터가 악용되지 않도록 보호 방안을 제시하는 프로세스입니다.
보안 테스트가 중요한 이유
오늘날 보안 테스트는 소프트웨어나 애플리케이션의 보안 취약점을 확인하고 해결하는 가장 확실한 방법이며, 다음과 같은 피해 상황을 예방하는 데 도움을 줍니다.
- 고객 신뢰도 하락
- 네트워크, 시스템, 웹사이트 다운타임으로 인한 시간과 비용 손실
- 공격으로부터 시스템과 네트워크를 보호하기 위한 추가 투자 비용 발생
- 부실한 보안 조치로 인해 기업이 직면할 수 있는 법적 문제
보안 테스트의 7가지 유형
애플리케이션, 네트워크, 시스템의 취약점을 감지하려면 다음 7가지 주요 보안 테스트 방법을 활용할 수 있습니다.
참고: 이러한 방법은 수동으로도 수행할 수 있으며, 중요 데이터에 위험이 될 수 있는 보안 취약점을 감지하는 데 사용됩니다.
- 취약점 스캐닝(Vulnerability Scanning): 네트워크 내 시스템에 위협이 될 수 있는 보안 허점을 자동으로 스캔하고 식별하는 자동화 프로그램입니다.
- 보안 스캐닝(Security Scanning): 시스템과 네트워크의 취약점을 식별하는 자동 또는 수동 방식입니다. 웹 애플리케이션과 통신하여 네트워크, 웹 애플리케이션, 운영체제의 잠재적 보안 취약점을 탐지합니다.
- 보안 감사(Security Auditing): 기업의 보안 체계를 체계적으로 평가하여 중요 정보에 위험이 될 수 있는 결함을 파악하는 방법입니다.
- 윤리적 해킹(Ethical Hacking): 기업이나 보안 전문가가 합법적으로 수행하는 해킹으로, 네트워크나 컴퓨터의 잠재적 위협을 찾아냅니다. 윤리적 해커는 시스템 보안을 우회하여 악의적인 공격자가 악용할 수 있는 취약점을 미리 탐지합니다.
- 침투 테스트(Penetration Testing): 시스템의 약점을 드러내는 데 도움을 주는 보안 테스트입니다.
- 보안 태세 평가(Posture Assessment): 윤리적 해킹, 보안 스캐닝, 위험 평가를 결합하여 조직의 전반적인 보안 상태를 점검하는 방식입니다.
- 위험 평가(Risk Assessment): 잠재적 보안 취약점에 내포된 위험을 평가하고 판단하는 프로세스입니다. 조직은 논의, 인터뷰, 분석을 통해 위험 수준을 파악합니다.
침입자의 세 가지 유형
악의적인 공격자는 일반적으로 다음 세 가지 유형으로 분류됩니다.
- 가장자(Masker): 시스템에 접근 권한이 없는 개인으로, 인증된 사용자로 가장하여 접근 권한을 획득합니다.
- 기만자(Deceiver): 시스템에 합법적인 접근 권한을 부여받았지만, 이를 남용하여 중요 데이터에 접근하는 개인입니다.
- 은밀 침입자(Secret User): 보안을 우회하여 시스템의 제어권을 장악하려는 개인입니다.
주요 보안 위협 유형
침입자 유형 외에도 보안 약점을 악용하는 다양한 위협이 존재합니다.
- 교차 사이트 스크립팅(XSS): 웹 애플리케이션에서 발견되는 보안 결함으로, 사이버 범죄자가 클라이언트 측 스크립트를 웹 페이지에 삽입해 사용자가 악성 URL을 클릭하도록 유도합니다. 코드가 실행되면 개인정보를 탈취하거나 사용자 명의로 작업을 수행할 수 있습니다.
- 무단 데이터 접근(Unauthorized Data Access): SQL 인젝션 다음으로 흔한 공격 유형입니다. 해커가 서버를 통해 데이터에 접근하기 위해 무단으로 권한을 획득하며, 데이터 페칭 작업을 통한 접근, 클라이언트 인증 정보의 불법 열람, 타인의 활동 감시를 통한 무단 접근 등이 포함됩니다.
- 신원 속임(Identity Tricking): 해커가 정당한 사용자의 자격 증명을 확보한 상태에서 네트워크를 공격하는 방법입니다.
- SQL 인젝션(SQL Injection): 현재 공격자가 서버 데이터베이스에서 중요 정보를 빼내는 데 가장 많이 사용하는 기법입니다. 해커는 시스템 취약점을 이용해 소프트웨어, 웹 애플리케이션 등에 악성 코드를 삽입합니다.
- 데이터 변조(Data Manipulation): 해커가 사이트에 게시된 데이터를 이용해 웹사이트 소유자의 정보에 접근한 뒤, 이를 공격적인 내용으로 변경하는 공격입니다.
- 권한 상승(Privilege Advancement): 공격자가 본래 부여되어서는 안 되는 높은 수준의 권한을 얻기 위해 계정을 생성하는 공격 유형입니다. 성공하면 해커는 루트 파일에 접근해 전체 시스템을 손상시킬 수 있는 악성 코드를 실행할 수 있습니다.
- URL 변조(URL Manipulation): 해커가 URL을 조작해 기밀 정보에 접근하는 위협입니다. 애플리케이션이 HTTPS 대신 HTTP로 서버와 클라이언트 간 정보를 전송할 때 발생하며, 쿼리 문자열의 매개변수를 변경해 공격에 성공할 수 있습니다.
- 서비스 거부 공격(Denial of Service): 사이트나 서버를 마비시켜 사용자가 접근할 수 없게 만들고, 이로 인해 사이트에 대한 신뢰를 잃게 만드는 공격입니다. 일반적으로 봇넷(Botnet)을 이용해 수행됩니다.
보안 테스트 기법
아래의 보안 점검 항목은 앞서 언급한 위협에 대처하는 데 도움이 됩니다. 이를 위해서는 HTTP 프로토콜, SQL 인젝션, XSS에 대한 충분한 지식이 필요하며, 이를 바탕으로 발견된 보안 취약점을 보완하고 시스템을 안전하게 유지할 수 있습니다.
교차 사이트 스크립팅(XSS) 검증: XSS는 공격자가 접근 권한을 얻기 위해 활용하는 대표적인 수단이므로, 테스터는 웹 애플리케이션이 어떠한 스크립트도 그대로 입력받아 실행하지 않는지 반드시 확인해야 합니다. 스크립트 삽입은 가장 큰 위협 요소로 시스템 전체를 위험에 빠뜨릴 수 있습니다.
XSS 테스트 시 점검해야 할 특수 문자는 다음과 같습니다.
- Less-Than 부호 (<)
- Greater-Than 부호 (>)
- 어포스트로피 (')
비밀번호 크래킹(Password Cracking): 시스템 테스트에서 가장 중요한 부분입니다. 해커는 기밀 정보에 접근하기 위해 비밀번호 크래킹 도구를 사용하거나 온라인에 유포된 흔한 비밀번호와 계정 정보를 악용합니다. 따라서 테스터는 웹 애플리케이션이 복잡한 비밀번호를 요구하는지, 그리고 쿠키가 암호화 없이 저장되지 않는지 확인해야 합니다.
이와 함께 테스터는 보안 테스트의 7가지 핵심 특성을 반드시 염두에 두어야 합니다.
- 무결성(Integrity)
- 인증(Authentication)
- 가용성(Availability)
- 권한 부여(Authorization)
- 기밀성(Confidentiality)
- 복원력(Resilience)
- 부인 방지(Non-repudiation)
보안 테스트 방법론
- 화이트 박스(White Box): 테스터에게 시스템에 대한 모든 정보가 제공되는 방식입니다.
- 블랙 박스(Black Box): 테스터에게 어떠한 정보도 제공되지 않으며, 실제 환경과 동일한 조건에서 시스템을 테스트하는 방식입니다.
- 그레이 박스(Grey Box): 이름 그대로 일부 정보만 제공되며, 나머지는 테스터가 스스로 파악해야 하는 방식입니다.
이러한 방법을 활용하면 조직은 시스템에서 발견된 보안 취약점을 효과적으로 보완할 수 있습니다. 특히 숙련되지 않은 초보자가 작성한 코드에는 철저한 테스트 전까지 발견하거나 수정하기 어려운 보안 취약점이 숨어 있으므로, 이러한 코드의 사용을 최소화하는 것이 중요합니다.
이 글이 여러분의 시스템에 숨어 있는 보안 허점을 찾아 해결하는 데 실질적인 도움이 되기를 바랍니다.