What is an Application Vulnerability?

일반적인 애플리케이션 Vulnerability Exploits

새로운 익스플로잇과 제로 데이가 정기적으로 생성되지만 종종 작은 취약성 집합을 이용합니다. 이러한 취약점 중 상당수는 수년 동안 알려져 왔지만 애플리케이션 코드 내에서 계속 나타납니다.

OWASP Top Ten List는 웹 애플리케이션에 중점을 두고 애플리케이션에 나타나는 가장 일반적이고 영향력 있는 취약성 중 일부를 강조하는 잘 알려진 리소스입니다. OWASP 상위 10개 목록의 현재 버전은 2021년에 릴리스되었으며 다음과 같은 10가지 취약점을 포함합니다.

1. 깨진 액세스 제어
2. 암호화 오류
3. 주사
4. 안전하지 않은 디자인
5. 보안 구성 오류
6. 취약하고 오래된 구성 요소
7. 식별 및 인증 실패
8. 소프트웨어 및 데이터 무결성 오류
9. 보안 로깅 및 모니터링 실패
10. 서버 측 요청 위조

이 목록에서는 문제의 근본 원인에 중점을 두고 일반적인 취약성 클래스에 대해 설명합니다. CWE(Common Weaknesses Enumeration)는 특정 문제의 특정 인스턴스에 대한 정보를 제공합니다. 각 OWASP 상위 10개 취약성에는 하나 이상의 관련 CWE 목록이 포함되어 있습니다. 예를 들어, 암호화 실패에는 하드 코딩된 암호화 키 사용 또는 암호화 서명의 부적절한 확인과 같은 29개의 매핑된 CWE 목록이 포함됩니다.

애플리케이션 취약성을 수정하는 방법

개발 팀이 DevSecOps 사례를 채택함에 따라 취약성 관리를 자동화하는 것은 개발 및 릴리스 목표를 충족하면서 보안을 보장하는 데 필수적입니다. 개발 팀은 다음과 같은 다양한 도구를 사용하여 애플리케이션 취약성을 식별할 수 있습니다.

• 정적 애플리케이션 보안 테스트 (사스트): SAST 도구는 애플리케이션을 실행하지 않고 애플리케이션의 소스 코드를 분석합니다. 이를 통해 애플리케이션이 실행 가능한 상태가 아닌 경우 소프트웨어 개발 수명 주기 초기에 일부 취약성을 식별할 수 있습니다.
• 동적 애플리케이션 보안 테스트 (DAST): DAST 솔루션은 실행 중인 애플리케이션과 상호 작용하여 블랙박스 취약성 평가를 수행합니다. DAST 도구는 일반적인 악성 입력과 퍼징을 사용하여 생성된 무작위 및 잘못된 형식의 요청을 전송하여 애플리케이션 내에서 알려진 취약성과 알려지지 않은 취약성을 검색하도록 설계되었습니다.
• 대화형 애플리케이션 보안 테스트(IAST): IAST 솔루션은 계측을 사용하여 실행 중인 애플리케이션에 대한 가시성을 확보합니다. 이러한 내부 가시성을 통해 IAST 솔루션은 블랙박스 DAST 접근 방식으로는 감지할 수 없는 문제를 식별할 수 있습니다.
• 소프트웨어 구성 분석(SCA): 대부분의 애플리케이션에는 라이브러리 및 종속성과 같은 타사 코드가 포함되어 있으며, 여기에는 악용 가능한 취약성도 포함될 수 있습니다. SCA는 애플리케이션 내에서 사용되는 외부 코드에 대한 가시성을 제공하여 이 소프트웨어의 알려진 취약성을 식별하고 수정할 수 있도록 합니다.

효과적인 DevSecOps 워크플로는 이러한 접근 방식의 대부분 또는 전부를 자동화된 CI/CD 파이프라인에 통합합니다. 이렇게 하면 취약성을 최대한 빨리 식별하고 수정할 수 있는 가능성을 극대화하는 동시에 개발자의 오버헤드와 중단을 최소화할 수 있습니다.