Java 리드/아키텍트 보안 면접

애플리케이션 레벨 암호화는 DB 관리자로부터도 데이터를 보호할 수 있으며, 필드별 세밀한 암호화와 비즈니스 로직 기반 접근 제어가 가능합니다. TDE는 디스크 레벨에서 투명하게 암호화하여 애플리케이션 변경 없이 적용할 수 있지만, DB 내부에서는 평문으로 처리되어 DB 계정 탈취 시 취약합니다. 검색이 필요한 필드는 결정론적 암호화나 토큰화를 사용하고, 민감도가 매우 높은 데이터는 애플리케이션 레벨에서 AES-GCM으로 암호화하며, 파일/백업 보호는 TDE를 활용하는 하이브리드 전략이 효과적입니다. 키 관리는 AWS KMS나 HashiCorp Vault 같은 전용 시스템을 사용하고, 데이터 암호화 키(DEK)와 키 암호화 키(KEK)를 분리하는 Envelope Encryption 패턴을 적용해야 합니다.

SAML 2.0은 XML 기반으로 엔터프라이즈 IdP(AD FS, Okta 등)와의 통합에 강점이 있으며, 주로 웹 브라우저 환경에서 사용됩니다. OAuth 2.0/OIDC는 JSON 기반으로 RESTful API와 모바일 앱에 적합하며, Access Token과 ID Token을 분리하여 인증과 인가를 명확히 구분합니다. 멀티 테넌트 환경에서는 테넌트별로 다른 IdP를 지원해야 하므로, 엔터프라이즈 고객용으로는 SAML을 Service Provider로 구현하고, 일반 사용자와 모바일 앱용으로는 OIDC를 제공하는 하이브리드 방식이 효과적입니다. Spring Security SAML과 Spring Security OAuth2를 함께 사용하여 통합 인증 게이트웨이를 구축하고, 내부적으로는 JWT 기반 세션리스 아키텍처로 통일하는 것이 확장성과 유지보수성을 높입니다.

Rate Limiting은 Token Bucket 또는 Sliding Window 알고리즘을 사용하여 IP, API Key, 사용자 ID별로 다층으로 적용해야 합니다. Redis를 사용한 분산 카운터로 여러 서버 간 실시간 동기화를 구현하고, Lua Script로 원자성을 보장합니다. API Key는 HMAC 기반 서명과 함께 발급하여 변조를 방지하고, 키별로 tier(무료/프리미엄)를 부여하여 차등 quota를 적용합니다. 악의적 패턴 탐지를 위해 Spring Cloud Gateway나 Kong 같은 API Gateway에서 요청 패턴 분석과 IP Reputation 체크를 수행하고, 의심 트래픽은 CAPTCHA나 추가 인증을 요구합니다. CloudFlare 같은 CDN/WAF를 최전선에 배치하여 네트워크 레벨 DDoS를 차단하고, 애플리케이션 레벨에서는 비즈니스 로직 기반 제한을 적용하는 계층적 방어가 효과적입니다.

세션 고정 공격 방어를 위해 로그인 성공 시 반드시 새로운 세션 ID를 발급해야 하며, Spring Security는 기본적으로 sessionFixation().changeSessionId()를 사용하여 세션 데이터는 유지하면서 ID만 변경합니다. 세션 하이재킹 방어를 위해 쿠키에 HttpOnly, Secure, SameSite=Strict 속성을 설정하여 XSS와 CSRF 공격을 차단합니다. HTTPS 전환 시에도 세션을 재생성하고, 권한 상승(일반 사용자→관리자) 시에도 새 세션을 발급하여 권한 상승 전 탈취된 세션의 악용을 방지합니다. 추가로 User-Agent와 IP 주소를 세션에 바인딩하여 검증하고, 세션 타임아웃을 적절히 설정하며, 동시 세션 수를 제한하는(maximumSessions) 다층 방어를 적용해야 합니다.

SAST는 소스코드를 정적 분석하여 SQL Injection, XSS, 하드코딩된 비밀번호 등을 찾아내며, SonarQube나 Checkmarx를 IDE와 CI/CD에 통합하여 개발 초기에 발견합니다. SCA는 의존성 라이브러리의 알려진 취약점(CVE)을 검사하며, OWASP Dependency-Check나 Snyk를 빌드 파이프라인에 통합하여 취약한 버전 사용을 차단합니다. DAST는 실행 중인 애플리케이션을 외부에서 공격하여 런타임 취약점을 찾아내며, OWASP ZAP이나 Burp Suite를 스테이징 환경에 적용합니다. 발견된 취약점은 심각도에 따라 분류하고, Critical/High는 배포를 차단하며, Medium 이하는 백로그에 등록하여 점진적으로 해결합니다. 보안 챔피언을 각 팀에 배치하여 취약점 리뷰와 수정을 주도하게 하고, 정기적인 보안 교육과 모의 해킹으로 조직의 보안 역량을 지속적으로 향상시킵니다.

ABAC은 주체(사용자 역할, 부서), 객체(환자 기록, 민감도), 환경(시간, 위치, 디바이스) 속성을 조합한 정책으로 접근을 제어합니다. XACML이나 OPA(Open Policy Agent) 같은 정책 엔진을 사용하여 '담당 의사는 본인 환자의 기록을 진료 시간에만 조회 가능'같은 복잡한 규칙을 선언적으로 표현합니다. 성능 최적화를 위해 정책 결정 결과를 Redis에 캐싱하되, 속성 변경(담당 환자 변경) 시 즉시 무효화하고, 자주 사용되는 정책은 애플리케이션 메모리에 컴파일하여 평가 속도를 높입니다. 모든 접근 시도와 정책 평가 결과를 감사 로그에 기록하여 규정 준수와 사후 분석을 지원하며, 정책 변경은 버전 관리하고 테스트를 거쳐 배포합니다. Spring Security와 통합 시 custom AccessDecisionVoter를 구현하여 ABAC 정책 엔진을 호출하는 방식으로 기존 아키텍처와 자연스럽게 결합합니다.

감사 로그는 사용자 식별자, 타임스탬프, IP 주소, 작업 유형, 대상 리소스, 변경 전후 값, 성공/실패 여부를 포함해야 하며, 민감 정보는 마스킹하되 필요 시 복호화 가능하도록 설계합니다. 로그 변조 방지를 위해 각 로그 엔트리에 HMAC 서명을 추가하거나, 블록체인처럼 이전 로그의 해시를 포함하여 체인을 형성합니다. Spring AOP를 사용하여 서비스 레이어에 감사 로깅을 선언적으로 적용하고, 비동기 큐(Kafka)를 통해 별도 저장소(Elasticsearch)에 저장하여 메인 DB 성능 영향을 최소화합니다. 장기 보관은 법적 요구사항에 따라 S3 Glacier 같은 저비용 스토리지로 아카이빙하되, 검색 가능한 인덱스는 유지합니다. 이상 패턴 탐지는 ELK Stack이나 Splunk로 대량 조회, 비정상 시간대 접근, 권한 상승 시도 등을 모니터링하고, 임계치 초과 시 실시간 알림을 발송합니다.

Kubernetes Secrets는 K8s 네이티브로 간편하지만 기본적으로 base64 인코딩만 제공하여 etcd 암호화 설정이 필수이며, 주로 환경별 설정값에 적합합니다. AWS Secrets Manager는 AWS 서비스와 통합이 쉽고 RDS 비밀번호 자동 로테이션을 지원하지만, 멀티 클라우드 환경에서는 제한적입니다. HashiCorp Vault는 동적 비밀 생성, 세밀한 정책 기반 접근 제어, 모든 접근에 대한 감사 로그를 제공하며, 온프레미스와 멀티 클라우드 환경에서 가장 강력하지만 운영 복잡도가 높습니다. 실무에서는 Vault를 중앙 비밀 저장소로 사용하고, Spring Cloud Vault로 애플리케이션 시작 시 비밀을 주입받으며, DB 비밀번호는 Vault의 Database Secret Engine으로 동적 생성하여 짧은 TTL로 자동 로테이션합니다. 모든 비밀 접근은 Vault의 감사 로그에 기록하고, AppRole이나 Kubernetes Auth로 서비스별 최소 권한을 부여합니다.

Content-Security-Policy(CSP)는 허용된 소스에서만 리소스를 로드하도록 제한하여 XSS 공격을 방어하며, script-src, style-src 등 디렉티브로 세밀하게 제어합니다. X-Frame-Options는 DENY나 SAMEORIGIN으로 설정하여 클릭재킹 공격을 방지합니다. Strict-Transport-Security(HSTS)는 브라우저가 HTTPS만 사용하도록 강제하여 중간자 공격을 차단하며, includeSubDomains와 긴 max-age 설정이 권장됩니다. X-Content-Type-Options: nosniff는 MIME 타입 스니핑을 방지하여 악성 파일 실행을 차단합니다. Spring Security에서는 headers() DSL로 간편하게 설정하되, CSP는 인라인 스크립트나 외부 CDN 사용 시 nonce나 hash를 사용하여 세밀하게 조정해야 합니다. 프로덕션 적용 전 CSP Report-Only 모드로 위반 사항을 수집하고 점진적으로 정책을 강화하는 것이 안전합니다.

Nexus나 Artifactory 같은 내부 Artifact Repository를 구축하여 모든 외부 의존성을 프록시하고, 승인된 라이브러리만 사용하도록 통제합니다. Maven Central에서 다운로드 시 PGP 서명을 검증하여 변조되지 않았음을 확인하고, SHA-256 체크섬도 함께 검증합니다. OWASP Dependency-Check를 CI/CD에 통합하여 알려진 CVE를 자동으로 검사하고, Snyk나 Dependabot으로 취약점 알림을 받아 신속하게 패치합니다. SBOM은 CycloneDX나 SPDX 형식으로 생성하여 사용 중인 모든 컴포넌트와 버전을 추적하고, 새로운 취약점 발표 시 영향 범위를 즉시 파악할 수 있게 합니다. 라이선스 관리는 License Finder로 GPL 같은 제한적 라이선스 사용을 사전에 차단하고, 정기적인 의존성 업데이트 정책과 EOL 라이브러리 교체 계획을 수립하여 장기적 보안을 유지합니다.