[MOONSLAB.com]

웹보안에 대한 연구를 진행해 오고 있는 WASC(Web Application Securtiy Consortium)에서는 웹애플리케이션 보안 통계 프로젝트 2008 보고서를 발표했습니다. 이 보고서는 웹사이트의 취약점을 공동으로 해결하기 위한 노력의 일환으로 웹애플리케이션의 취약점에 대해 보다 쉽게 이해하기 위함입니다.

통계 보고서에는 약 12,186 개의 웹 애플리케이션에서 97,554 개의 취약점이 진단되었습니다. 다음은 통계 데이터를 분석한 결과를 요약한 것입니다.

• 가장 널리 퍼진 취약점은 XSS(cross site scripting)입니다. 그 뒤를 정보 누출, SQL 인젝션, HTTP Response Splitting이 차지하고 있습니다.

• 자동화된 진단 도구에서 웹애프리케이션을 검사한 결과 긴급 또는 치명적인 오류를 포함할 가능성은 49%입니다. 전문가가 분석한 경우에는 96%에 이릅니다.
• 관리에 따른 문제점은 시스템 개발의 오류에 비해 약 20% 이상 발생할 가능성이 높습니다.
• 99% 이상의 웹애플리케이션이 PCI DDS 표준 요구사항과 맞지 않습니다. 또한 PCI DSS가 정한 ASV 검사 범주에 맞지 않는 웹애플리케이션이 48%에 이릅니다.
• 자동화된 진단도구에서는 웹사이트당 3개의 취약점이 발견되었지만 화이트박스 방식(신뢰할 수 있는 전문가의 소스 분석 및 실행파일 분석 방식)의 분석을 통해서는 91개의 취약점이 발견되었습니다.
• 2007년도와 비교할 때에 SQL 인젝션 취약점은 13%, XSS 취약점은 20% 감소했습니다만, 정보 누출은 24% 증가했습니다. 하지만 호스트가 자동으로 감염될 수 있는 가능성은 7%에서 13%로 증가했습니다.

통계 정보는 WASC가 주관하는 웹애플리케이션 보안 평가 프로젝트를 통해 만들어졌으며 다음의 회사들이 참여했습니다. Blueinfy, Cenzic with Hailstorm, DNS with WebInspect, Encription Limited, HP Application Security Center with WebInspect, Positive Technologies with MaxPatrol, Veracode with Veracode Security Review, WhiteHat Security with WhiteHat Sentinel.

보다 자세한 사항은 아래 링크에서 다운로드받을 수 있습니다.

다운로드 링크

SQL 인젝션 취약점과 XSS(cross site scripting)  취약점은 웹 보안에 있어 가장 핵심적인 부분이라고 말할 수 있습니다. 두가지 취약점 모두 입력값(매개변수 등등)을 확인하는 과정이 빠져 있어 이를 이용하여 공격하게 됩니다.

웹애플리케이션 보안의 측면에서는 다양한 진단 툴(스캐너)가 오픈 소스 형태인 무료로, 또는 유명한 보안 회사에서는 수천달러 이상의 고가에 제품으로 판매되고 있습니다.

하지만, 이러한 취약점은 웹애플리케이션 뿐만 아니라 컴파일되는 응용 프로그램에게서도 발생할 수 있는 가능성이 있습니다.

최근 마이크로소프트(Microsoft)는 새로운 안티 XSS 라이브러리의 출시를 약속했으며 조만간에 공개될 예정이라고 합니다. 아직까지 자세한 사항에 대해 알려지지 않았습니다만, 정보 보안 팀의 아닐 레부루(Anil Revuru)는 기존의 안티-XSS(AntiXss) 라이브러리를 새롭게 한 WPL(Web Protection Library)로 출시한다고 합니다.

WPL은 기존의 안티-XSS 라이브러리에 SRE(Security Runtime Engine)이 추가되었으며, LDAP 인젝션과 CSS(Cascading Style Sheets) 인젝션을 완화하는 기능이 추가되어 있습니다. SRE 모듈에는 입력값에서 올바른 SQL 쿼리인지 진단하기 위해 특별한 SQL 파서를 사용하여 SQL 인젝션 시도를 진단하고 차단하는 새로운 HTTP 모듈이 포함되어 있습니다.

WPL을 적용하기 위해서는 ASP.NET으로 개발 환경을 바꾸는 것이 좋다고 MS가 추천하고 있습니다. WPL CPL은 수주 내에 다운로드 링크가 공개될 예정입니다.

WPL v1.0의 주요한 기능은 다음과 같습니다.

• 인코딩 및 변수 확인(sanitization)기능을 제공하는 새로운 Encoder, Sanitizer 클래스 제공.
• AntiXss 클래스 제외. 하위 호환성을 위해 메소드는 제대로 동작하지만 AntiXss로 컴파일할 때 경고 메시지 표시.
• 성능 향상을 위해 Anti-XSS 모듈 업데이트
• 입력 값에서 SQL 쿼리문을 진단할 수 있도록 새로운 SQL 인젝션 진단 모듈 추가
• 비주얼 스튜디오에서 손쉽게 구성 파일을 설정할 수 있도록 UI 변경
• SRE에서는 새로운 완화 방침을 구현할 수 있도록 확장된 API 공개

참고로, MS Anti-XSS 라이브러리 3.1 버전은 아래 링크에서 다운로드할 수 있습니다.

다운로드 링크

요즘에 보내기트위터에 보내기페이스북에 보내기미투데이에 보내기