빌드업웍스
OWASP Top 10 2025년판, 무엇이 바뀌었고 무엇부터 대응해야 합니까
고객사 보안 요구사항이나 점검 보고서에 OWASP Top 10 2025년판이 등장하면서, 개발팀이 열 가지를 한꺼번에 대응해야 하는지 묻는 경우가 늘었습니다. 2021년판과 무엇이 달라졌는지도 함께 묻습니다.
빌드업웍스 답변
빌드업웍스 엔지니어핵심 답변
OWASP Top 10:2025에서는 취약한 구성요소 항목이 소프트웨어 공급망 실패(A03)로 넓어졌고, 예외 상황 처리 오류(A10)가 새로 들어왔으며, 서버 측 요청 위조(SSRF)는 접근 통제 실패(A01)에 합쳐졌습니다. 대응은 순위를 위에서부터 따라가기보다 피해가 크고 점검 방법이 분명한 접근 통제·보안 설정·의존성 관리부터 시작해 로깅·알림, 예외 처리, 설계 검토로 넓혀 가는 순서가 실무적입니다. Top 10은 위험 분류이므로 세부 점검 항목은 OWASP ASVS 같은 검증 기준으로 내려가야 합니다.
- 공급망 실패와 예외 처리 오류가 새 항목으로 들어왔습니다
- SSRF는 접근 통제 실패 항목에 합쳐졌습니다
- 접근 통제·설정·의존성 관리부터 시작합니다
- Top 10은 분류이고 점검 항목은 ASVS로 내려갑니다
2021년판과 달라진 점
OWASP Top 10은 웹 애플리케이션의 주요 보안 위험을 열 가지로 분류한 목록입니다. OWASP가 공개한 2025년판의 구성은 다음과 같습니다.
| 2025년판 | 2021년판 대비 |
|---|---|
| A01 접근 통제 실패(Broken Access Control) | 1위 유지, SSRF가 이 항목에 합쳐짐 |
| A02 보안 설정 오류(Security Misconfiguration) | 5위에서 2위로 |
| A03 소프트웨어 공급망 실패(Software Supply Chain Failures) | 「취약하고 오래된 구성요소」를 넓힌 항목 |
| A04 암호화 실패(Cryptographic Failures) | 2위에서 4위로 |
| A05 인젝션(Injection) | 3위에서 5위로 |
| A06 안전하지 않은 설계(Insecure Design) | 4위에서 6위로 |
| A07 인증 실패(Authentication Failures) | 이름에서 「식별」이 빠짐 |
| A08 소프트웨어·데이터 무결성 실패(Software or Data Integrity Failures) | 순위 유지 |
| A09 보안 로깅·알림 실패(Security Logging and Alerting Failures) | 「모니터링」이 「알림」으로 바뀜 |
| A10 예외 상황 처리 오류(Mishandling of Exceptional Conditions) | 새 항목 |
변화의 방향은 두 가지로 읽힙니다. 하나는 코드 밖으로 넓어진 범위입니다. A03은 의존 라이브러리뿐 아니라 빌드 시스템과 배포 인프라까지 포함하는 공급망 전체의 훼손을 다룹니다. 다른 하나는 정상 흐름이 아닌 상황에 대한 관심입니다. A10은 오류 처리 미흡, 논리 오류, 오류가 났을 때 오히려 열려 버리는(fail open) 동작을 묶은 새 항목입니다.
순위와 대응 순서는 다릅니다
Top 10의 순위는 OWASP가 수집한 데이터와 보안 동향을 바탕으로 정한 분류이지, 회사마다 처리해야 할 순서를 뜻하지는 않습니다. 실무에서는 피해가 크고 점검 방법이 분명한 것부터 처리하는 편이 짧은 기간에 위험을 많이 줄입니다. 인젝션이 순위에서 내려갔다고 덜 중요해진 것도 아닙니다. 사용자 입력을 이어 붙여 쿼리를 조립하는 코드가 남아 있다면 여전히 우선 대상입니다.
첫 번째: 접근 통제를 서버에서 매번 확인합니다
접근 통제 실패는 로그인한 사용자가 자기 권한 밖의 데이터나 기능에 접근할 수 있는 상태입니다. 주소창의 회원 번호만 바꿔 다른 사람의 주문을 보는 경우가 대표적입니다. 화면에서 버튼을 숨기는 것은 통제가 아니며, 요청이 들어올 때마다 서버가 「이 사용자가 이 자원에 접근할 수 있는가」를 확인해야 합니다. 2025년판에서 SSRF가 이 항목에 합쳐졌으므로, 사용자가 지정한 주소로 서버가 외부 요청을 보내는 기능이 있다면 허용 목록 검사를 요청보다 먼저 하는지도 함께 확인합니다.
점검 방법은 단순합니다. 권한이 다른 테스트 계정 두 개를 만들어 한 계정으로 다른 계정의 주문·문서·파일 주소를 직접 호출해 봅니다. 일반 사용자 계정으로 관리자 기능의 주소를 호출하는 시험도 같은 방식입니다. 기능이 많다면 「역할별로 어떤 자원에 무엇을 할 수 있는가」를 표로 정리한 권한 표를 먼저 만들고, 그 표를 기준으로 시험 항목을 뽑으면 빠짐이 줄어듭니다.
두 번째: 의존성 목록부터 만듭니다
- 구성요소 목록(SBOM) 작성애플리케이션이 쓰는 라이브러리와 버전을 자동으로 뽑아 관리합니다.
- 버전 고정잠금 파일로 빌드마다 같은 버전이 설치되게 합니다.
- 취약점 알림 연결새 취약점이 공개되면 영향받는 서비스를 바로 찾을 수 있게 합니다.
- 빌드·배포 경로 보호빌드 서버와 배포 자격 증명의 권한을 최소화합니다.
소프트웨어 구성요소 명세서(SBOM)는 국내에서도 과학기술정보통신부·국가정보원·디지털플랫폼정부위원회가 2024년 「SW 공급망 보안 가이드라인 1.0」으로 도입 방법을 안내하고 있습니다. 목록이 없으면 새 취약점이 공개됐을 때 우리 서비스가 영향을 받는지조차 답할 수 없습니다.
새 항목 A10과 달라진 A09
A10 예외 상황 처리 오류는 「정상 흐름에서는 문제가 없지만 오류가 났을 때 열리는」 코드를 다룹니다. 권한 확인 중 외부 인증 서버가 응답하지 않자 예외 처리에서 요청을 그냥 통과시키는 코드, 결제 검증이 시간 초과되면 성공으로 간주하는 코드가 전형적인 예입니다. 원칙은 실패하면 닫히게(fail closed) 만드는 것입니다. 확인할 수 없으면 거부하고, 그 사실을 기록합니다. 오류 메시지에 내부 경로나 쿼리, 스택 정보가 그대로 노출되지 않는지도 예외 처리를 점검할 때 함께 확인합니다.
A09는 이름에서 「모니터링」이 「알림」으로 바뀌었습니다. 로그를 쌓아 두는 것만으로는 부족하고, 중요한 사건이 생겼을 때 사람이 알게 되는 경로가 있어야 한다는 뜻입니다. 로그인 실패 급증, 권한 오류 반복, 관리자 기능 사용 같은 사건에 알림 기준을 두고, 그 알림을 누가 받는지까지 정해 두어야 이 항목을 대응했다고 말할 수 있습니다.
웹 방화벽은 보조 수단입니다
웹 방화벽(WAF)은 알려진 공격 형태를 앞단에서 걸러 주지만, 접근 통제 실패처럼 정상 요청과 형태가 같은 공격은 구분하지 못합니다. Top 10 대응의 중심은 애플리케이션 코드와 설정이고, WAF는 패치가 끝나기 전의 시간을 버는 보조 수단으로 두는 것이 맞습니다.
참고 자료
이어서 보기
보안 자주 받는 질문
오픈소스 취약점과 SBOM 관리는 어디서부터 시작해야 합니까
SBOM(소프트웨어 구성요소 명세서)은 소프트웨어에 포함된 오픈소스·외부 라이브러리의 이름과 버전, 의존 관계를 기계가 읽을 수 있게 적은 목록이며, 새 취약점이 공개되면 영향받는 서비스를 바로 찾게 해 줍니다. 시작은 운영 중인 서비스 목록을 정하고 빌드할 때마다 SPDX나 CycloneDX 형식으로 SBOM을 자동 생성하는 것이고, 모든 구성요소가 어렵다면 KISA 「SW 공급망 보안 가이드라인」의 권고처럼 외부 라이브러리와 공개 SW부터 관리합니다. 그다음 취약점 정보와 대조해 실제 영향과 악용 여부로 조치 순서를 정합니다.
답변 2026-10-22
보안 자주 받는 질문
클라우드 보안 사고로 이어지는 설정 실수에는 어떤 것이 많습니까
클라우드에서 반복해서 지적되는 설정 실수는 외부에 공개된 저장소, 필요 이상으로 넓은 권한, 코드나 설정 파일에 남은 장기 액세스 키, 인터넷 전체에 열린 관리 포트, MFA 없는 관리자 계정입니다. 공통점은 서비스가 정상적으로 동작하는 상태라 사고가 나기 전까지 드러나지 않는다는 것입니다. 계정 단위 공개 차단, 임시 자격 증명, 최소 권한을 기본값으로 두고 예외는 사유와 함께 기록하는 방식이 효과적입니다.
답변 2026-10-22
보안 자주 받는 질문
OTP로 다단계 인증을 쓰고 있는데 패스키로 바꿔야 합니까
OTP나 문자처럼 사람이 코드를 옮겨 입력하는 방식은 가짜 로그인 화면에도 그대로 입력될 수 있어 피싱을 막지 못합니다. 패스키(FIDO2)는 인증이 접속한 사이트의 도메인에 묶여 있어 이 공격을 구조적으로 막으므로, 클라우드 콘솔·통합 로그인(SSO)·관리자 계정부터 우선 전환하는 것이 효과가 큽니다. 전환할 때는 기기 분실에 대비해 계정마다 인증 수단을 두 개 이상 등록하고 복구 절차를 함께 정해야 합니다.
답변 2026-10-22
함께 보면 좋은 자료Cloudflare WAF가 막지 못하는 것함께 보면 좋은 자료개발 서비스 범위함께 보면 좋은 자료웹사이트 기술·보안 상태 확인 도구댓글
답변에 덧붙일 질문이나 경험을 남겨 주세요. 빌드업웍스가 확인한 뒤 게시합니다.
댓글을 불러오는 중입니다.
궁금한 점을 편하게 남겨 주세요
영업 연락은 드리지 않습니다. 빌드업웍스 엔지니어가 영업일 2~3일 안에 답변드리고, 카카오톡·텔레그램 채팅으로도 상담하실 수 있습니다.