전송 구간
HTTPS와 HSTS로 중간자 공격과 평문 노출을 줄입니다.
REQUEST GUARDS
보안은 요청 경로마다 책임을 나눠 둡니다
한 요청이 브라우저, 네트워크, 서버, 데이터베이스를 지나며 어떤 방어선을 통과해야 하는지 확인하면 빠진 보안 조치를 찾기 쉽습니다.
보안 적용 순서
암호화 -> 토큰 -> 검증 -> 최소 권한 -> 관측
브라우저 요청
CSRF 토큰과 SameSite 쿠키로 사용자가 의도하지 않은
요청을 걸러냅니다.
애플리케이션
입력 검증, 출력 이스케이프, 인가 확인으로 XSS와 권한 우회를 함께 막습니다.
Validation / CSP데이터 계층
Prepared Statement와 최소 권한 계정으로 SQL Injection의 피해 범위를 줄입니다.
Query / Least privilege
제한
로그인과 민감 API에는 레이트 리미트를 둡니다.
기록
차단된 요청과 권한 실패를 로그로 남깁니다.
회귀
수정 후 동일 공격 시나리오를 다시 실행합니다.