네트워크·엔드포인트·애플리케이션·데이터 방어

정상 HTTPS로 들어온 파일도 위험할 수 있다

고객이 문서 서비스에 첨부파일을 올렸다. 허용된 통신 경로였고 로그인도 성공했지만, 파일을 열어 처리하는 프로그램에 취약점이 있다면 서버가 침해될 수 있다. 반대로 파일 자체는 정상이어도 다른 고객의 문서를 읽는 요청이라면 막아야 한다. 통신 허용·파일 검사·업무 권한은 서로 다른 질문이다.

이 장은 가상의 고객 문서 서비스를 공통 사례로 사용한다. 첫 절에서는 방어 위치와 실패 처리, 둘째 절에서는 관측과 대응, 셋째 절에서는 클라우드·API·배포 경로를 연결한다. 아래 수치·정책·시험은 자체 교육 자료이며 특정 서비스의 안전 인증이나 실측 성과가 아니다.

앞의 세 원칙을 배치 결정으로 바꾸기

신뢰경계·최소권한·심층방어에서는 가정이 바뀌는 지점에서 검증하고, 필요한 행동만 허용하며, 한 통제의 실패를 다른 통제가 제한하도록 배웠다. 통제가 같은 관리자 계정과 정책 저장소에 함께 의존하면 장비 수만으로 독립된 방어층이라고 할 수 없다. 이제 이 원칙을 실제 통신·프로세스·파일·문서 제공 경로에 배치한다.

1. 보안시스템은 장비 목록이 아니라 집행 구조다

보안시스템 통합은 자산과 사건 경로에 맞춰 예방·탐지·대응 기능을 배치하고, 그 기능의 입력·권한·실패 처리·운영 증거를 연결하는 설계와 운영이다.

먼저 보호할 결과를 정한다. 이 서비스는 허가된 고객에게 승인된 버전의 문서만 제공하고, 미검사 파일의 실행과 인터넷에서 데이터베이스로 직접 들어오는 경로를 막는다. 검사 서비스가 멈출 때에는 미검사 첨부파일 제공을 보류하되 이미 승인된 문서의 읽기까지 무조건 멈추지는 않는다. 보호목표와 중단 범위를 이렇게 나누어야 장애 때 모든 검사를 끄는 우회가 생기지 않는다.

어떤 정보를 보는 도구인가

방화벽은 정한 정책에 따라 네트워크나 호스트 사이의 통신을 통제하는 장치 또는 프로그램이다. 주소·포트·연결 상태 등 제품과 배치가 제공하는 정보를 사용하며, 허용된 통신의 모든 업무 의미까지 자동으로 알지는 못한다.[SS-C01]

침입탐지시스템(IDS)은 관측한 사건에서 침입이나 정책 위반의 징후를 찾아 알리는 시스템이다. 침입방지시스템(IPS)은 탐지 기능과 함께 통신 차단 같은 예방 조치를 수행하는 시스템이다. 같은 탐지 규칙이어도 관측만 하는 위치인지 실제 트래픽 경로에서 집행하는지에 따라 장애 영향과 오탐 비용이 달라진다.[SS-C02]

웹 애플리케이션 방화벽(WAF)은 HTTP 요청·응답을 규칙에 따라 검사하고 통제하는 방어 기능이다. 엔드포인트 탐지·대응(EDR)은 단말이나 서버의 행위를 수집·분석하여 위협을 탐지하고 조사·대응을 지원하는 기능이다. WAF는 웹 요청의 내용, EDR은 호스트의 프로세스·파일·연결 같은 행위를 본다는 차이가 있다.[SS-C03]

제품은 여러 기능을 묶을 수 있으므로 상자 이름보다 실제 수집·판정·집행 기능을 확인한다. 암호화된 통신의 본문을 검사하려면 승인된 복호화 위치와 개인정보·키 보호를 설계해야 한다. 본문을 볼 수 없는 네트워크 관측을 파일 내용 검사로 보고하지 않는다.

2. 같은 사건에 네 층을 연결한다

화살표는 이 사례에서 허용할 업무 흐름이다. 검사 작업자에게 문서 원장을 변경하거나 외부로 임의 연결하는 권한을 주지 않는다. 게이트웨이를 우회하여 내부 서비스나 제공용 저장소에 직접 접근하는 경로도 확인한다. 서비스가 고객 권한을 대신 집행하므로 저장소가 비공개라는 사실만으로 객체별 인가를 생략할 수 없다.

도구별로 막는 것과 남는 것

네 층의 성공률을 곱해 전체 방어율을 계산하지 않는다. 독립성도 실제 확률도 주어지지 않았으며 같은 계정 침해로 여러 통제가 함께 실패할 수 있다. 대안은 제품을 더 사는 것만이 아니라 관리 권한과 증거 보관 경로를 분리하는 것이다.

3. 직접 판정: 처음 맞는 규칙과 우회 경로

자체 모형 SS-F1은 위에서 아래로 읽어 처음 일치하는 규칙을 적용한다. 주소 집합의 분류가 신뢰 가능하고 새 연결의 방향을 판정한다고 가정한다. 실제 제품의 상태 추적·응답 트래픽 규칙을 이 표가 전부 표현하는 것은 아니다.

Internet→DB:5432는 규칙 1~3 중 일치하는 것이 없어 거부한다. App→DB:5432는 규칙 3으로 허용하지만 App→DB:22는 거부한다. Gateway→App:8443이 허용되었다고 Internet→App:8443도 허용되는 것은 아니다. 포트 번호만이 아니라 출발·도착·방향을 함께 읽는다.

만약 맨 위에 “모든 집합→DB의 모든 TCP 허용”을 넣으면 Internet→DB:5432도 그 규칙에 먼저 일치한다. 아래에 직접접속 거부 규칙이 남아 있어도 해당 접속을 막지 못한다. 따라서 규칙 존재뿐 아니라 순서와 적용 대상을 시험한다. 관리 접속은 이 표에 숨겨 넣지 않고 별도로 승인된 경로·시간·계정으로 설계한다.

4. 첨부파일을 받은 것과 제공해도 되는 것은 다르다

OWASP의 파일 업로드 지침은 필요한 확장자 허용목록, 실제 형식 확인, 파일명·크기·권한 통제, 웹 공개 영역 밖의 저장과 가능한 내용 검사를 함께 제시한다. 요청자가 보낸 Content-Type은 위조될 수 있어 그것만으로 실제 형식을 확정하지 않는다. 파일 검사도 한 도구의 성공만으로 모든 위험이 없다고 증명하지 못한다.[SS-C04]

자체 정책 SS-U1은 업로드를 받으면 서버가 생성한 식별자와 변경 불가능한 객체 버전으로 격리 저장한다. 압축파일은 해제 후 크기·항목 수도 제한하며, 처리 프로그램은 갱신하고 최소권한으로 실행한다. 검사 기록에는 객체 ID·버전·해시, 검사기와 규칙 버전, 종료 상태와 시각을 묶는다. 검사 결과가 허용이고 요청된 객체가 그 버전과 같을 때만 제공 상태로 전환한다.

시간초과는 깨끗한 파일이라는 결과가 아니다. 고객 문서를 공개 검사 서비스에 올리는 방식도 내용 유출과 약관을 검토하지 않고 채택하지 않는다. 검사되지 않은 객체가 직접 URL이나 캐시 경로로 나가는지까지 시험해야 한다. 정상 파일 검사는 해당 고객의 다운로드 권한을 대신하지 않는다.

직접 계산: 검사가 밀렸다고 검사를 생략하지 않는다

자체 계산 SS-Q1은 빈 대기열에서 초당 12개 파일이 들어오고 검사 처리율은 초당 8개인 상태가 30초 유지된다고 정한다. 모든 파일의 처리비용이 같고 유입·처리율이 일정하다는 교육용 가정이다. 대기 증가율은 12−8=4개/초이므로 30초 뒤 대기는 120개다.

처리율을 초당 16개로 회복해도 새 유입 초당 12개가 계속된다. 대기를 줄이는 순처리율은 16−12=4개/초이며, 120개를 해소하는 데 30초가 더 필요하다. 120/16=7.5초는 새 유입을 무시한 계산이다. 처리율이 유입률 이하라면 이 모형에서 대기가 유한한 시간에 없어지지 않는다.

운영 정책은 대기량·저장 여유·예상 지연을 관측하고 초과하면 새 접수를 제한하거나 재시도 시점을 안내하는 것이다. 이미 받은 파일은 검사 대기 상태로 유지한다. 검사 우회로 용량을 늘리는 대안은 기각한다. 실제 파일 크기·검사 시간의 편차와 재시도 부하는 별도 측정해야 한다.

5. 설계 결과와 출시 판단

업무 책임자는 미검사 파일 제공 불허와 기존 승인 문서의 읽기 범위를 정한다. 네트워크 담당은 SS-F1의 실제 경로·우회·규칙 변경을 시험하고, 서비스 담당은 객체별 인가와 SS-U1의 상태 전이를 집행한다. 호스트 담당은 검사 작업자의 제한 권한과 행위 수집·격리 기능을 운영한다. 저장 담당은 검사 대상 버전과 제공 버전의 일치를 보장하며, 보안 담당은 독립된 기록 경로에서 판정과 실제 제공 결과를 대조한다.

시험은 정상 업로드·다운로드 외에 직접 DB 접근, 다른 고객 문서 요청, 위험 파일, 검사 시간초과, 허용 후 파일 교체, 기록 수집 장애와 대기 급증을 포함한다. 거부·미확인 상태인데 문서가 제공되거나 내부 우회 경로가 열리면 출시를 보류한다. 격리 명령이 발행된 시점과 실제 호스트 격리가 확인된 시점도 따로 기록한다.

항상 전 구간을 복호화해서 검사하는 대안은 개인정보 노출·키 집중·성능 비용 때문에 무조건 선택하지 않는다. 승인된 위치 중 필요한 곳에서 검사하고 보이지 않는 영역은 다른 호스트·업무 기록으로 보완한다. 모든 관리 권한을 한 계정에 모으는 대안도 기각하며, 장애 때의 예외는 대상·승인·기간·만료·사후 확인을 명시한다.

실패를 성공으로 덮어쓰지 않는다

WAF 통과는 파일 무해 판정이 아니고, 악성코드 검사 허용은 고객 권한의 증거가 아니다. 호스트 수집기가 멈춰 경보가 없어진 경우는 공격이 없어진 것과 다르다. 공통 관리 계정 침해와 검사·수집 장애를 별도로 시험해야 방어층의 실제 독립성을 볼 수 있다.

격리에는 업무 중단과 증거 훼손 위험도 있다. 특정 검사 작업자만 격리할지 전체 서비스 연결을 차단할지 사건 범위와 승인권자를 확인한다. 확보하지 않은 관측을 상상하여 침해 원인이나 공격자 신원을 확정하지 않는다.

이 절의 공식 보안시스템 범위

이 절은 네트워크·호스트·애플리케이션·데이터 경로에 방어 기능을 배치하고 실패 시 집행 결과를 판단한다. 대상은 문서 서비스의 통신 규칙·격리 객체·검사 결과·제공 권한이다. 통신 허용과 파일·객체 검증의 경계를 나누며 우회·검사 실패·버전 교체·대기 급증을 거부·보류 조건으로 시험한다. 모든 제품의 세부 설정과 전체 공격 탐지율을 완성하거나 독립적으로 승인하는 범위는 아니다.

6. 자체 10점 문제와 풀이 구조

SS-F1에서 Internet→DB:5432의 판정과 맨 위에 광범위한 DB 허용 규칙을 추가했을 때의 차이를 설명하고, SS-Q1의 대기량과 회복 후 해소시간을 계산하라.

규칙 존재가 아니라 첫 일치 순서를 읽고, 대기 해소는 총처리율이 아닌 순처리율로 계산한다. 이 문제와 아래 답안은 교육용이며 실제 기출·공식 채점표가 아니다.

독립 풀이: 첫 일치 규칙을 번호로 쓰고, 대기 증가와 해소 계산에 서로 다른 분모를 적는다.

통신: 출발·도착·포트 → 첫 일치 규칙 → 허용/거부
대기: (12−8)×30 = 120개 → 120/(16−12) = 30초

7. 자체 25점 문제

고객 문서 서비스에 네트워크·엔드포인트·애플리케이션·데이터 방어를 배치하라. 정상 경로와 우회 방지, 파일 검사 실패와 용량 부족, 역할·증거·출시 보류 조건을 포함한 설계 결과를 작성하라.

“방화벽과 EDR을 도입한다”에서 끝내지 말고 각 도구가 보는 것, 집행하는 것, 알 수 없는 것을 적는다. 이미 배운 인가와 암호 원리는 재정의하지 않고 실제 문서 제공에 적용한다.

설계부터 쓰기: 한 파일의 버전을 고정하고, 검사 오류와 정상 검사 뒤 고객 인가 실패를 다른 경로로 적는다. 이 연습의 판단 항목은 공식 채점표가 아니다.

8. 오답을 직접 고치기

조건을 바꿔 풀기

회복 뒤에도 유입이 초당 20개라면? 처리 16개보다 많아 대기는 초당 4개씩 더 늘며 유한 해소시간을 제시할 수 없다. 순처리율로 돌아가 접수 제한이나 추가 용량을 판단한다.

검사 허용 뒤 같은 이름으로 파일을 교체하면? 이름이 같아도 버전이 다르면 미검사 객체다. 옛 허용 결과로 제공하지 않고 다시 검사한다. 버전 연결을 확인한다.

규칙 1~3의 순서만 서로 바꾸면? 이 모형에서는 대상이 겹치지 않아 제시한 판정이 유지된다. 넓은 규칙을 추가한 경우와 구별하고 처음 일치 조건으로 이유를 설명한다.

근거와 한계

SS-C01은 NIST SP 800-41 Rev.1(2009-09-28)의 공식 개요에 제시된 방화벽의 범위, SS-C02는 NIST SP 800-94(2007-02-20)의 공식 개요와 IDPS 구분에 한정한다. SP 800-94 Rev.1 초안은 최종판이 아니며, 오래된 기본 개념 문서를 오늘날 모든 공격과 제품의 지침으로 표시하지 않는다.

SS-C03은 OWASP ModSecurity의 HTTP 필터링 설명과 Microsoft Defender for Endpoint의 EDR 개요를 기능 비교의 근거로 사용한다. 특정 제품의 구매 권고나 실제 탐지율을 의미하지 않는다. SS-C04는 OWASP File Upload Cheat Sheet의 Defense in Depth·File Storage Location·User Permissions·Upload and Download Limits를 독립적으로 설명한 것이다. 관찰일은 2026-09-19이며 발행일 미확인 웹 문서와 구별한다.

SS-F1·SS-U1·SS-Q1과 표·도식·답안은 자체 작성이다. 원문 그림을 복사하지 않았고, 제품별 완전 설정·실제 침해 조사·사람에 의한 독립 기술 및 권리 검토는 제공하지 않는다.

회독의 핵심

방어는 허용 경로·관측 위치·실제 집행을 연결하는 일이다. 통신 성공, 파일 검사 허용, 고객 인가는 서로 대신하지 않는다. 미확인과 실패는 그대로 보류하고 판정 대상 버전·운영 용량·공통 실패·우회를 시험한다. 다음 절은 이 경로에서 나온 기록을 사고 판단과 안전한 대응으로 연결한다.

회상: 허용된 443 연결의 파일이 아직 미제공일 수 있는 이유를 세 단계로 말한다. 회복 후 처리율 16개/초에서 새 유입 12개/초를 먼저 빼는 이유도 설명하고 파일 상태와 대기 계산으로 확인한다.

조건을 바꾸어 연습하기: 통신·검사 대상·실제 완료량을 각각 판정한다.

다음은 SS-F1·SS-U1·SS-Q1의 조건을 바꾼 교육용 사례다. 통신 규칙은 여전히 첫 일치 방식이며, 마지막 문제의 검사 시도와 파일 완료는 다른 수량이다.

1. DF-O. SS-F1 맨 위에 모든 집합→DB의 모든 TCP 허용을 추가했다. 담당자가 그 아래에 Internet→DB TCP 5432 거부도 넣었다. Internet→DB:5432와 App→DB:5432는 각각 어느 규칙으로 판정되는가? Internet의 모든 DB TCP 직접 연결을 차단하되 App→DB:5432는 유지하려면 어느 출발·도착·범위의 규칙을 어디에 두어야 하는가? Internet→DB:22와 Internet→App:8443도 새 순서로 판정하라.
2. DF-V. 객체 O7의 v7은 검사 허용이며 그 결과는 O7·v7·해시 H7에 묶였다. 같은 표시 파일명으로 v8이 접수되어 아직 검사 대기 중이다. v7을 검사한 작업자가 늦게 보낸 허용 결과와 v8의 내려받기 요청이 만났다. 파일명만 같으면 제공해도 되는가? v8의 해시가 우연히 H7과 같다고 보고되면 SS-U1에서 v8 검사를 건너뛰어도 되는가? 이어 v7은 현재 고객의 읽기 권한이 없고, 다른 기존 문서 O9·v3은 검사 허용·버전 일치·현재 고객 인가가 모두 충족한다고 한다. 세 요청의 제공 여부와 검사 장애 때 중단 범위를 설명하라.
3. DF-B. 대기는 120개이며 새 접수는 12개/초다. 회복한 검사 용량 16회/초는 파일 완료가 아니라 시도 수다. 고정된 5초마다 80회 중 16회가 오류 재시도에 사용되어 추가 파일을 완료하지 못하고, 나머지 64회는 서로 다른 파일 하나씩을 완료한다고 가정한다. 각 구간 끝에서 대기를 계산할 때 순감소량과 해소시간은 얼마인가? 같은 조건에서 새 접수만 8개/초로 제한하면 얼마인가? 이것을 실제 파일별 지연 보장이나 미검사 파일 제공 허가로 해석해도 되는가?