OWASP Serverless Top 10 (Interpretation Report, 2017) 요약
OWASP Serverless Top 10 (Interpretation Report, 2017) 요약
OWASP Serverless Top 10은 서버리스 아키텍처에서 빈번하게 발생하는 보안 위험을 정리한 해석 보고서입니다. 서버 관리가 필요 없는 특수한 환경에서도 여전히 애플리케이션 수준의 취약점은 존재하며, 이를 예방하기 위한 통찰을 제공합니다.(해당 보고서는 아직 공식 OWASP Top 10 형식으로는 완성되지 않은 예비 리스트입니다.)
주요 서버리스 보안 위험 항목 (Interpretation Report 기준)
| 코드 | 항목명 | 설명 |
|---|---|---|
| S1 | Injection | SQL, 명령어 또는 이벤트 주입 등의 입력 기반 공격 |
| S2 | Broken Authentication | 인증 구현 오류로 인한 무단 접근 가능성 |
| S3 | Sensitive Data Exposure | 민감 정보의 암호화 부족 또는 노출 |
| S4 | XML External Entities (XXE) | XML 처리 중 외부 엔티티 접근 취약점 |
| S5 | Broken Access Control | 권한 검증 미비로 인한 리소스 오남용 |
| S6 | Security Misconfiguration | 서버리스 환경 설정 오류, 보안 구성 미흡 |
| S7 | Cross-Site Scripting (XSS) | 클라이언트 측 스크립트 삽입 공격 |
| S8 | Insecure Deserialization | 역직렬화 과정에서 코드 실행 취약점 발생 |
| S9 | Using Components with Known Vulnerabilities | 취약한 라이브러리 또는 프레임워크 사용 |
| S10 | Insufficient Logging & Monitoring | 로그 및 모니터링 부재로 탐지·대응 지연 |
요약 인사이트
- 대상: 서버리스 애플리케이션을 개발하거나 운영하는 DevSecOps 팀, 보안 담당자
- 핵심 메시지:
- 서버리스라 해서 취약점이 사라지지 않습니다. 자동 실행 기반 서비스에서도 여전히 제품 코드 수준의 보안 취약점에 주의해야 합니다.
- 서버리스는 인프라를 추상화하지만, 그만큼 구성 오류와 의존성 관리가 독립적으로 보안에 미치는 영향을 고려해야 합니다.
활용 제안
- 코드 리뷰 시 S1~S10 항목을 체크리스트로 활용
- 배포 파이프라인(CI/CD) 내 정적 분석, 의존성 취약점 스캔 도입
- 서버리스 로깅 및 모니터링 시스템(AWS CloudWatch, Azure Monitor 등) 구축
- XML/JSON 입력값 필터링, 환경 변수 검증, 권한 최소화 원칙(Least Privilege) 적용
참고
-
OWASP Serverless Top 10 Interpretation Report (2017)
실제 서버리스 Top 10 리스크를 해석한 예비 문서이며, 향후 공식 보고서로 발전될 가능성이 있습니다 :contentReference[oaicite:0]{index=0}. -
클라우드 네이티브 및 서버리스 보안 컨텍스트에 대한 추가 연구 자료는 Cloud Security Alliance 문서도 참고할 수 있습니다 :contentReference[oaicite:1]{index=1}.
이 마크다운을 그대로 Velog에 붙이면 표와 문단이 깔끔하게 표현됩니다.
필요하시면 각 항목별 대응 전략이나 AWS Lambda 예시 코드 등을 포함한 확장 버전도 작성해 드릴 수 있습니다!
...