techtop
정보보안정보관리컴시응

OWASP Top 10

OWASP Top 10

OWASP Top 10은 비영리 단체 OWASP가 실제 취약점 데이터와 전문가 설문을 바탕으로 선정·발표하는 웹 애플리케이션의 가장 중대한 10대 보안 위험 목록으로, 2021년판은 접근 통제 취약(A01)을 1위로 제시한다.

핵심 키워드

A01 접근 통제 취약(Broken Access Control)A02 암호화 실패(Cryptographic Failures)A03 인젝션(Injection)A04 안전하지 않은 설계(Insecure Design)A05 보안 설정 오류(Security Misconfiguration)A06 취약·노후 구성요소A08 SW·데이터 무결성 실패A10 SSRF(서버 측 요청 위조)CWE 매핑

정리

1. 개요

  • 정의: OWASP(Open Worldwide Application Security Project)가 발표하는 웹 애플리케이션 10대 보안 위험
  • 목적: 개발자·보안 담당자의 인식 제고, 시큐어 코딩·보안 테스트의 기준 제공
  • 선정 방식 (2021): 기여 데이터(CWE 단위 발생률·악용성·영향도) + 커뮤니티 설문으로 순위 결정

2. 구성/원리 (2021년판)

순위항목주요 내용·대응
A01Broken Access Control권한 우회, IDOR → 기본 거부, 서버 측 접근 통제
A02Cryptographic Failures평문 전송, 약한 알고리즘 → TLS, 강한 암호·키 관리
A03InjectionSQL·OS 명령·XSS 포함 → 파라미터화 쿼리, 입력 검증
A04Insecure Design설계 단계 결함 → 위협 모델링, 보안 설계 패턴
A05Security Misconfiguration기본 계정, 불필요 기능, XXE 포함 → 하드닝, 자동 점검
A06Vulnerable and Outdated Components취약 라이브러리 → SCA, SBOM, 패치 관리
A07Identification and Authentication Failures크리덴셜 스터핑, 세션 관리 미흡 → MFA
A08Software and Data Integrity Failures검증 없는 업데이트, 안전하지 않은 역직렬화 → 서명 검증
A09Security Logging and Monitoring Failures탐지·대응 지연 → 로그 수집·경보 체계
A10Server-Side Request Forgery (SSRF)서버가 내부 자원 요청 → URL 화이트리스트, 망 분리

3. 특징 또는 비교 (2017 → 2021 변화)

구분내용
신설A04 Insecure Design, A08 SW·데이터 무결성 실패, A10 SSRF
통합XSS → Injection에 통합, XXE → Security Misconfiguration에 통합
명칭 변경Sensitive Data Exposure → Cryptographic Failures (증상→근본원인 관점)
순위 변화Broken Access Control 5위 → 1위, Injection 1위 → 3위
  • 특징: 개별 취약점이 아닌 위험 범주(Category) 단위, 근본 원인 중심 분류, 설계·공급망 영역으로 확장

4. 고려사항·최신 동향

  • 한계: 인식 제고용 문서로 완전한 보안 표준이 아님 → 검증 기준은 OWASP ASVS 활용
  • SDLC 적용: 요구사항(보안 요구) → 설계(위협 모델링) → 구현(시큐어 코딩) → 테스트(SAST·DAST·SCA) → 운영(WAF·모니터링)
  • 국내 연계: 행정안전부 SW 개발보안 가이드(보안약점 기준), KISA 웹 취약점 점검 항목과 대응 관계 정리
  • 동향
    • 최신 개정판(2025)에서 공급망 실패, 예외 상황 처리 미흡 등이 새 범주로 반영
    • API Security Top 10, LLM 애플리케이션 Top 10 등 분야별 목록으로 확장

함께 볼 토픽

DevSecOps블랙박스·화이트박스 테스트 기법소프트웨어 자재명세서(SBOM)

v1 · 2026. 10. 19. 갱신 · 틀린 내용을 발견하면 알려 주세요.