보안
무엇을 지키고, 어디서 뚫리고, 어떻게 막는지를 원리부터 정리했다. 공격은 막는 법을 이해할 만큼만 원리로 다룬다.
원리
무엇을 지키고 어떻게 증명하나: 원칙, 암호, 인증
- 보안의 기초무엇을 누구에게서 지키는지 정하고, 한 겹이 뚫려도 버티게 설계하는 원칙이다.CIA · 진본성·부인 방지 · 위협 모델링 · STRIDE · 위험 평가와 대응 · 최소 권한 · 직무 분리 · 심층 방어 · 공격 표면 · 안전한 기본값 · 케르크호프스 원칙
- 암호비밀을 지키고, 바뀌지 않았음을 증명하고, 누가 보냈는지 확인하는 수학적 도구다.대칭 암호(AES) · 운용 모드와 ECB · 인증 암호(AEAD) · 공개키 암호 · 해시와 HMAC · 디피–헬먼 키 교환 · 디지털 서명과 인증서 · 암호용 난수 · 키 관리(KMS·HSM) · 흔한 오해 · 직접 만들지 않기
- 인증과 인가당신이 누구인지 확인하고, 무엇을 할 수 있는지 정하는 방법이다.인증과 인가 · 비밀번호 저장 · 솔트와 느린 해시 · 해시 확인과 PHC 문자열 · HTTPS와 브라우저 암호화 · 다중 인증 · 크리덴셜 스터핑 방어 · 패스키 · 세션과 토큰 · 세션 쿠키 탈취 · OAuth·OIDC · PKCE · SSO·SAML · RBAC·ABAC · IDOR
- 제로 트러스트네트워크 안쪽이라고 믿지 않고, 요청마다 누가·어떤 기기로·무엇을 하려는지 확인하는 설계다.경계 보안의 한계 · 망분리와의 관계 · 옆으로 이동 · 침해 가정 · 최소 권한 · PDP·PEP · 신원 인식 프록시 · BeyondCorp · 기기 상태 · 지속 검증 · 마이크로세그멘테이션 · ZTNA · CISA 성숙도 모델 · 제로트러스트 가이드라인 2.0
분야별 방어
어디서 뚫리고 어떻게 막나: 웹, 네트워크, 시스템, 사람
- 웹 보안브라우저와 서버 사이에서 자주 생기는 취약점과, 브라우저가 주는 방어 장치다.동일 출처 정책 · CORS · XSS · 출력 인코딩 · CSP · CSRF · SameSite 쿠키 · SQL 인젝션 · SSRF · OWASP Top 10 · 경로 조작·파일 업로드 · 열린 리다이렉트·XXE · API Top 10·ASVS
- 네트워크 보안오가는 데이터를 지키는 TLS와 인증서, 경계를 지키는 장치들이다.TLS 1.3 핸드셰이크 · 순방향 비밀성 · 인증서와 PKI · 인증서 투명성 · HSTS · 방화벽과 NAT · IDS·IPS · VPN · 망분리 · 망연계 · N2SF · DNSSEC·DoH · DDoS 완화 · WPA3
- 시스템·소프트웨어 보안프로그램이 메모리를 잘못 다룰 때 생기는 문제와, 운영체제와 배포 과정의 방어다.메모리 안전 · 버퍼 넘침 · 스택 카나리 · ASLR·DEP · 메모리 안전 언어 · 샌드박스 · Spectre와 사이트 격리 · 공급망 보안 · 타이포스쿼팅·의존성 혼동 · SBOM·SLSA · 코드 서명 · 보안 부팅·TPM
- 원격 코드 실행 사례Log4Shell부터 Next.js까지, 바깥에서 보낸 데이터가 서버에서 코드로 실행된 사건들과 그 공통 원리, 대응 순서다.데이터가 코드가 되는 지점 · Log4Shell · lookup·JNDI · 전이 의존성 · Spring4Shell · 데이터 바인딩 · Confluence OGNL · 표현식 언어 인젝션 · 자바 역직렬화 · 가젯 체인 · 허용 목록 필터 · PHP-CGI 인자 주입 · Best-Fit 변환 · React Server Components RCE · Next.js 미들웨어 우회 · 내부 헤더 신뢰 · KEV·패치 속도 · SBOM · WAF 임시 조치 · egress 제한 · 침해 가정·사고 대응
- AI 보안LLM과 에이전트가 들여온 새 공격면이다. 글이 명령이 되고, 모델에 쥐여 준 도구가 곧 권한이 된다.AI 공격 표면 · 프롬프트 인젝션 · 간접 인젝션 · 과도한 권한 · 도구 설명 중독 · 치명적 삼박자 · 이중 LLM·CaMeL · 출력 처리 · 섀도 AI · 마크다운 이미지 유출 · 데이터·모델 중독 · pickle·safetensors · 딥페이크 사기 대응 · 평가·레드팀 · OWASP·NIST·ATLAS
- 사람과 운영기술보다 사람을 노리는 공격과, 사고가 났을 때 피해를 줄이는 습관이다.피싱 · 큐싱·피싱 오해 · 사회공학 · 비밀번호 관리자 · 패스키 · 3-2-1 백업 · 랜섬웨어 대비 · 패치 · 사고 대응 · SOC·SIEM·EDR·XDR·SOAR · 취약점 진단·모의 해킹·레드팀 · CVE·CVSS · EPSS · security.txt · ISMS·ISMS-P