Spring Boot 시니어 보안 면접

Access Token은 짧은 만료시간(15-30분)으로 설정하고 메모리나 HttpOnly Cookie에 저장합니다. Refresh Token은 긴 만료시간(2주-1개월)으로 설정하고 반드시 HttpOnly, Secure, SameSite 속성이 적용된 Cookie에 저장하여 XSS 공격을 방어합니다. Refresh Token은 서버측 Redis 등에 화이트리스트로 관리하여 즉시 무효화가 가능하도록 합니다. Token 갱신은 Access Token 만료 5분 전부터 Silent Refresh 방식으로 자동 갱신하며, Refresh Token Rotation 기법을 적용해 재사용 공격을 방지합니다. 민감한 작업(결제, 정보변경)은 추가 인증을 요구하는 Step-up Authentication을 구현합니다.

첫째, 애플리케이션 레벨에서 JPA는 JPQL 파라미터 바인딩을 사용하고 네이티브 쿼리 시 반드시 Prepared Statement를 적용합니다. MyBatis는 #{}을 사용하며 ${}는 테이블명 등 불가피한 경우에만 화이트리스트 검증 후 사용합니다. 둘째, 입력 검증 레이어에서 Bean Validation과 커스텀 Validator로 데이터 형식을 사전 검증하고 특수문자는 이스케이프 처리합니다. 셋째, 데이터베이스 레벨에서 애플리케이션 계정은 최소 권한 원칙을 적용하고 DDL 권한을 분리합니다. 넷째, 네트워크 레벨에서 WAF를 통해 SQL Injection 패턴을 탐지하고 차단합니다. 다섯째, 정기적인 보안 스캔과 코드 리뷰로 동적 쿼리 생성 부분을 집중 점검합니다.

API Gateway에서 클라이언트 인증을 처리하고 JWT를 검증한 후, 내부 서비스로는 변환된 토큰이나 사용자 컨텍스트를 전달합니다. Gateway는 OAuth 2.0 Authorization Server와 통신하여 토큰 검증을 수행하고, 검증 결과를 Redis에 캐싱하여 성능을 최적화합니다. 내부 서비스 간 통신은 mTLS(mutual TLS)로 암호화하고 Service Mesh(Istio 등)를 활용해 자동으로 인증서를 관리합니다. 각 마이크로서비스는 Spring Security의 Method Security로 세밀한 권한 검증을 수행하며, 권한 정보는 중앙화된 Policy Engine(OPA 등)에서 관리합니다. 서비스별 Circuit Breaker 패턴을 적용하여 인증 서비스 장애 시에도 시스템이 degraded mode로 동작하도록 설계합니다.

민감 정보는 AES-256-GCM 알고리즘으로 애플리케이션 레벨에서 암호화하며, 각 레코드마다 다른 IV(Initialization Vector)를 사용합니다. 암호화 키는 AWS KMS나 HashiCorp Vault 같은 외부 Key Management Service에서 관리하고, 애플리케이션은 DEK(Data Encryption Key)를 메모리에 캐싱하되 주기적으로 로테이션합니다. 검색이 필요한 필드는 HMAC 기반의 해시값을 별도 컬럼에 저장하여 인덱싱하거나, Format Preserving Encryption을 적용합니다. 성능 최적화를 위해 암/복호화가 필요한 컬럼만 선택적으로 처리하고, 배치 작업 시에는 비동기 처리를 적용합니다. 키 로테이션 전략으로 새로운 키로 점진적 재암호화를 수행하며, 감사 로그를 통해 모든 복호화 접근을 추적합니다.

전통적인 서버 렌더링 방식에서는 Spring Security의 CSRF Protection을 활성화하고, 모든 폼에 CSRF 토큰을 hidden field로 포함시킵니다. 토큰은 세션에 저장되며 POST, PUT, DELETE 요청 시 자동으로 검증됩니다. SPA 환경에서는 CSRF 토큰을 Cookie(non-HttpOnly)에 저장하고 클라이언트가 이를 읽어 커스텀 헤더(X-XSRF-TOKEN)로 전송하는 Double Submit Cookie 패턴을 사용합니다. Stateless한 JWT 기반 API는 토큰을 HttpOnly Cookie가 아닌 Authorization 헤더로 전송하면 CSRF 공격에 안전하지만, SameSite Cookie 속성을 Strict나 Lax로 설정하는 추가 방어층을 적용합니다. 중요한 작업은 재인증이나 CAPTCHA를 요구하는 추가 검증을 구현합니다.

입력 단계에서 Bean Validation과 커스텀 Validator로 악성 스크립트 패턴을 검증하고, OWASP Java HTML Sanitizer로 HTML 입력을 정제합니다. 저장 전에 위험한 태그와 속성을 화이트리스트 방식으로 필터링하여 Stored XSS를 방어합니다. 출력 단계에서는 Thymeleaf의 자동 이스케이프 기능을 활용하거나 명시적으로 HtmlUtils.htmlEscape()를 사용하여 Reflected XSS를 방어합니다. HTTP 응답 헤더에 Content-Security-Policy를 설정하여 인라인 스크립트 실행을 차단하고, X-XSS-Protection과 X-Content-Type-Options 헤더도 함께 적용합니다. SPA에서는 DOMPurify 같은 라이브러리로 클라이언트 측 정제를 추가하고, innerHTML 대신 textContent를 사용하여 DOM-based XSS를 방어합니다.

기본 권한은 RBAC으로 관리하여 역할별 메뉴와 기능 접근을 제어하고, 역할 계층 구조를 통해 상위 역할이 하위 역할의 권한을 상속받도록 설계합니다. 세밀한 데이터 레벨 접근 제어는 ABAC으로 구현하여 사용자 속성(부서, 직급), 리소스 속성(민감도, 소유자), 환경 속성(시간, IP)을 조합해 동적으로 평가합니다. Spring Security의 Method Security와 SpEL을 활용하여 @PreAuthorize 애노테이션에 복합 조건을 표현하고, 커스텀 Permission Evaluator를 구현합니다. 성능을 위해 사용자별 권한 정보는 Redis에 캐싱하고 TTL을 설정하며, 정책 변경 시 Pub/Sub으로 캐시를 무효화합니다. 정책 엔진(OPA, AWS Verified Permissions)을 분리하여 비즈니스 로직과 권한 로직을 디커플링하고, 정책은 외부화하여 코드 변경 없이 수정 가능하도록 합니다.

개인정보 항목별로 법적 보관 기간을 메타데이터로 관리하고, Spring Batch로 매일 만료된 데이터를 자동 삭제하거나 익명화하는 스케줄러를 구현합니다. 익명화는 K-익명성을 보장하도록 개인 식별 정보를 제거하고 통계적 분석만 가능하도록 처리합니다. 잊혀질 권리 구현을 위해 사용자 요청 시 관련된 모든 데이터를 찾아 삭제하는 API를 제공하며, 분산 시스템에서는 이벤트 기반으로 전파합니다. 데이터 이동권을 위해 개인정보를 JSON이나 CSV로 추출하는 Export API를 제공하고, 비동기 처리로 대용량 데이터를 안전하게 다운로드할 수 있게 합니다. 모든 개인정보 접근과 수정은 감사 로그에 기록하여 누가, 언제, 어떤 목적으로 접근했는지 추적 가능하도록 하며, 로그는 암호화하여 별도 저장소에 보관합니다.

네트워크 레벨에서 VPC를 Public/Private Subnet으로 분리하고 애플리케이션은 Private Subnet에 배치하며, WAF와 ALB를 Public Subnet에 두어 외부 트래픽을 필터링합니다. Security Group과 NACL로 최소 권한 원칙을 적용하고 Egress 트래픽도 제한합니다. 인프라 레벨에서 EC2나 컨테이너에 IAM Role을 부여하여 임시 자격증명을 사용하고, 애플리케이션 코드에 하드코딩된 자격증명이 없도록 합니다. Secrets Manager나 Parameter Store로 DB 비밀번호, API 키를 관리하고 자동 로테이션을 설정합니다. 애플리케이션 레벨에서 모든 내부 통신도 mTLS로 암호화하고, Service Mesh를 통해 서비스 간 인증을 강제합니다. 런타임 보안을 위해 컨테이너 이미지 스캔을 CI/CD 파이프라인에 통합하고, 런타임에 Falco 같은 도구로 이상 행위를 탐지합니다. 모든 보안 이벤트는 CloudWatch나 SIEM 시스템으로 중앙화하여 실시간 모니터링하고 자동 알림을 설정합니다.

추적할 보안 이벤트로 인증 실패, 권한 거부, 비정상적인 API 호출 빈도, SQL Injection 패턴 탐지, 민감 데이터 접근, 계정 잠금 등을 정의하고 Spring AOP로 횡단 관심사로 구현합니다. 각 이벤트는 구조화된 JSON 로그로 기록하여 ELK Stack이나 Splunk로 수집하고, 사용자 ID, IP, 타임스탬프, 리소스 정보를 포함시킵니다. 임계값 기반 탐지로 5분 내 로그인 5회 실패, 1분 내 동일 API 100회 호출 등의 룰을 설정하고, 이상 징후 발생 시 자동으로 계정을 일시 잠금하거나 IP를 차단합니다. 머신러닝 기반으로 평소와 다른 접속 시간, 위치, 행동 패턴을 탐지하여 추가 인증을 요구합니다. Prometheus와 Grafana로 보안 메트릭을 시각화하고, PagerDuty나 Slack으로 즉시 알림을 발송하며, 중요 이벤트는 자동으로 티켓을 생성합니다.