흔한 보안 공격 유형에는 무엇이 있나요?

Question

Accepted Answer

흔한 **공격 유형** — 공격자가 시스템을 침해하려는 방식 — 을 이해하는 것은 그것을 방어하는 데 기초가 됩니다. 주요 카테고리에는 injection, XSS, CSRF, 무차별 대입(brute force), 사회공학, DDoS 등이 포함됩니다.

## 웹 애플리케이션 공격

```text
INJECTION (SQL, command 등) → 입력을 통해 악성 코드 주입(쿼리/명령 조작)
XSS (Cross-Site Scripting) → 피해자의 브라우저에서 실행되는 스크립트 주입
CSRF (Cross-Site Request Forgery) → 로그인한 사용자의 브라우저를 속여 원치 않는
  요청을 하게 함(동의 없이 그들로서 작업 수행)
BROKEN ACCESS CONTROL → 권한이 없는 것에 접근/수정(예: IDOR)
SSRF → 서버를 속여 해선 안 되는 요청을 하게 함
```

## Authentication / 접근 공격

```text
BRUTE FORCE → 하나가 통할 때까지 많은 password/키 시도(rate-limit, 잠금, MFA)
CREDENTIAL STUFFING → 다른 침해에서 유출된 사용자명/password 쌍 사용
SESSION HIJACKING → session token/쿠키를 훔쳐 사용자를 가장
PHISHING / 사회공학 → 사람을 속여 자격 증명/정보를 노출하게 함(사람이 흔히 가장
  약한 고리)
```

## 기타 공격

```text
DDoS (Distributed Denial of Service) → 시스템을 범람시켜 사용 불가능하게 만듦
MAN-IN-THE-MIDDLE (MITM) → 통신 가로채기(HTTPS가 이를 방지)
MALWARE / ransomware; SUPPLY CHAIN 공격(의존성/빌드 도구 침해)
ZERO-DAY → 알려지지 않은/패치되지 않은 취약점 악용
```

## 왜 중요한가

흔한 보안 공격 유형을 이해하는 것이 기초적인 이유는 **이해하지 못하는 위협은 방어할 수 없으므로**, 공격자가 어떻게 작동하는지 아는 것이 안전한 시스템 구축에 필수적이기 때문이며, 따라서 중요한 보안 지식입니다.

공격 유형 — 공격자가 시스템을 침해하려는 방식 — 에 대한 인식은 방어의 토대입니다. 각 공격 유형에는 대응하는 방어책이 있으며, 위협을 이해하는 것이 보호 조치의 동기가 되고 방향을 제시하기 때문입니다.

**웹 애플리케이션 공격**을 이해하는 것 — **injection**(입력을 통한 쿼리/명령 조작), **XSS**(피해자의 브라우저에서 실행되는 스크립트), **CSRF**(로그인한 사용자의 브라우저를 속여 원치 않는 요청을 하게 함), **broken access control**(권한 없는 리소스 접근), **SSRF** — 은 개발자가 방어해야 하는 가장 흔한 애플리케이션 수준 위협을 다룹니다.

**Authentication/접근 공격**을 이해하는 것 — **무차별 대입**(많은 password 시도, rate-limiting과 MFA로 대응), **credential stuffing**(유출된 자격 증명 사용), **session hijacking**(token 도난), **피싱/사회공학**(사람을 속임, 사람이 흔히 가장 약한 고리이므로) — 은 공격자가 접근을 표적으로 삼는 방식을 다룹니다.

**기타 공격**을 이해하는 것 — **DDoS**(범람으로 사용 불가능하게 함), **man-in-the-middle**(통신 가로채기, HTTPS로 방지), malware, **공급망 공격**(의존성 침해 — 점점 더 중요), zero-day — 은 위협 환경에 대한 인식을 넓힙니다.

이러한 공격 유형을 아는 것은 개발자가 위협을 인식하고, 특정 방어책이 존재하는 이유(injection에 대한 parameterized query, XSS에 대한 escaping, 무차별 대입에 대한 MFA, MITM에 대한 HTTPS)를 이해하며, 적절한 보호를 구축할 수 있게 합니다.

위협을 방어하려면 그것을 이해해야 하고 각 흔한 공격 유형에는 대응하는 방어책이 있으며, 주요 공격(injection, XSS, CSRF, 무차별 대입, 피싱, DDoS, 공급망)에 대한 인식이 안전한 시스템 구축의 토대이므로, 흔한 보안 공격을 이해하는 것은 기초적이고 필수적인 보안 지식입니다. 이는 모든 방어적 보안의 바탕이 되는 위협 인식이며, 위협을 인식하고 보안 조치가 존재하는 이유를 이해하는 데 필요하고, 소프트웨어가 직면하는 끊임없고 다양한 공격에 저항해야 하는 시스템을 구축하는 모든 개발자의 기준선입니다.