웹 보안 리드·아키텍트 트러블슈팅 면접

1단계 긴급 조치로 WAF에서 해당 IP 대역을 즉시 차단하고, DB 커넥션 풀을 재시작하여 서비스를 복구합니다. 2단계로 애플리케이션 로그와 DB 슬로우 쿼리 로그를 수집하여 SQL Injection 공격 벡터를 분석하고, Prepared Statement 미적용 지점을 특정합니다. 3단계로 모든 사용자 입력을 받는 쿼리에 Parameterized Query를 적용하고, ORM 사용 시 raw query 사용 부분을 리팩토링합니다. 4단계로 WAF 룰을 강화하여 SQL Injection 패턴을 사전 차단하고, DB 계정 권한을 최소화(Least Privilege)하여 공격 성공 시 피해 범위를 제한합니다. 5단계로 SAST/DAST 도구를 CI/CD 파이프라인에 통합하여 배포 전 취약점을 자동 탐지하고, 정기적인 펜테스트를 수립합니다. 마지막으로 사고 보고서를 작성하고 전사 보안 교육을 실시하여 개발팀의 시큐어 코딩 역량을 강화합니다.

먼저 액세스 로그를 분석하여 비정상 접속 패턴(User-Agent, IP 지역, 접속 시간대)을 파악하고, 클라이언트 측 토큰 저장 방식을 확인합니다. localStorage에 JWT를 저장했다면 제3자 스크립트나 브라우저 확장 프로그램을 통한 유출 가능성을 조사합니다. 즉시 조치로 시크릿 키를 로테이션하여 기존 토큰을 모두 무효화하고, 리프레시 토큰 기반 재인증을 강제합니다. 의심 계정에 대해 강제 로그아웃 및 비밀번호 재설정을 요구합니다. 중기적으로 JWT를 HttpOnly, Secure, SameSite 쿠키로 전환하여 JavaScript 접근을 차단하고, 디바이스 핑거프린팅과 IP 기반 이상 탐지를 도입합니다. 장기적으로는 짧은 TTL의 액세스 토큰과 리프레시 토큰 로테이션 전략을 구현하고, 토큰에 디바이스 ID를 바인딩하여 토큰 재사용을 방지합니다. 또한 Redis 기반 토큰 블랙리스트를 구축하여 실시간 토큰 무효화 기능을 추가합니다.

먼저 브라우저 개발자 도구의 네트워크 탭에서 프리플라이트 OPTIONS 요청의 응답 헤더를 확인하여 Access-Control-Allow-Origin, Access-Control-Allow-Methods, Access-Control-Allow-Headers 값을 검증합니다. 프론트엔드 배포 시 CDN 도메인이나 서브도메인이 변경되었는지 확인하고, 백엔드의 CORS 허용 오리진 리스트와 일치하는지 검증합니다. API Gateway나 로드밸런서에서 CORS 헤더를 추가하는 경우 설정이 중복되어 충돌할 수 있으므로 계층별 설정을 점검합니다. 프론트엔드에서 커스텀 헤더(예: Authorization, X-Custom-Header)를 새로 추가했다면 백엔드의 Access-Control-Allow-Headers에 해당 헤더를 명시적으로 추가해야 합니다. 해결책으로 백엔드의 CORS 미들웨어 설정을 업데이트하여 새 오리진과 헤더를 허용하고, 와일드카드 사용 시 보안 리스크를 고려하여 명시적 도메인 리스트를 사용합니다. 마지막으로 CDN 캐시를 퍼지하고 브라우저 캐시를 클리어한 후 재테스트합니다.

공격 원인으로 첫 로그인 시 HTTP로 접속 후 HTTPS로 리다이렉트되는 과정에서 MITM 공격으로 쿠키가 탈취되었거나, HSTS가 설정되지 않아 SSL Stripping 공격에 노출되었을 가능성을 분석합니다. 또는 혼합 콘텐츠(Mixed Content)로 인해 일부 요청이 HTTP로 전송되었을 수 있습니다. 즉시 조치로 모든 활성 세션을 무효화하고 전체 사용자에게 재로그인을 요구하며, 의심 계정은 2FA 인증을 추가로 요구합니다. HSTS 헤더를 추가하여 브라우저가 항상 HTTPS로만 접속하도록 강제하고, preload 리스트에 등록합니다. 세션 관리 개선으로 세션 쿠키에 사용자의 IP 주소나 User-Agent를 바인딩하여 세션 컨텍스트가 변경되면 재인증을 요구합니다. 세션 타임아웃을 단축하고, 중요 작업 수행 시 재인증(Step-up Authentication)을 요구합니다. 또한 비정상적인 지역이나 디바이스에서 접속 시 이메일/SMS 알림을 발송하고, 사용자가 활성 세션을 관리할 수 있는 대시보드를 제공합니다.

즉시 조치로 모든 XML 파서에서 외부 엔티티 처리를 비활성화합니다. Java의 경우 DocumentBuilderFactory에서 setFeature로 external-general-entities와 external-parameter-entities를 false로 설정하고, Python lxml의 경우 resolve_entities=False를 지정합니다. 업로드된 XML 파일을 스캔하여 DOCTYPE 선언이나 ENTITY 선언이 포함된 파일을 차단하고, 화이트리스트 기반 스키마 검증을 추가합니다. 유출된 정보의 범위를 파악하기 위해 서버 접근 로그와 네트워크 아웃바운드 로그를 분석하고, 영향받은 고객에게 통지합니다. 중기적으로 전사 시큐어 코딩 가이드라인에 안전한 XML 파싱 표준을 명시하고, 공통 라이브러리를 만들어 모든 마이크로서비스에 배포합니다. XML 대신 JSON이나 Protocol Buffers 같은 안전한 데이터 포맷으로 마이그레이션을 검토합니다. SAST 도구에 XXE 탐지 룰을 추가하여 코드 리뷰 시 자동으로 취약점을 발견하고, 정기적인 보안 감사를 통해 레거시 코드의 취약점을 지속적으로 제거합니다.

공격자는 script-src 'self'에서 허용된 자사 도메인의 JSONP 엔드포인트에 콜백 함수로 악성 코드를 주입하거나, 오래된 AngularJS 같은 라이브러리의 템플릿 인젝션 취약점을 이용하여 CSP를 우회했을 가능성이 높습니다. 즉시 조치로 사용하지 않는 JSONP 엔드포인트를 제거하고, 필요한 경우 CORS 기반 API로 대체합니다. 취약한 버전의 JavaScript 라이브러리를 최신 버전으로 업데이트하고, npm audit이나 Snyk 같은 도구로 의존성 취약점을 스캔합니다. CSP 정책을 강화하여 script-src에 nonce나 hash 기반 인라인 스크립트만 허용하고, strict-dynamic 지시어를 추가하여 동적으로 로드되는 스크립트도 제어합니다. base-uri, form-action, frame-ancestors 같은 추가 지시어를 설정하여 다른 공격 벡터도 차단합니다. CSP 위반 리포트를 수집하기 위해 report-uri나 report-to를 설정하고, 실시간 모니터링 대시보드를 구축합니다. 조직 차원에서 CSP 템플릿을 표준화하고, 새로운 서비스 배포 시 CSP 검증을 필수 체크리스트에 포함시킵니다.

즉시 조치로 X-Forwarded-For 헤더를 신뢰하지 않고 프록시 서버의 실제 연결 IP를 사용하도록 설정을 변경하거나, 신뢰할 수 있는 프록시 체인만 허용하도록 설정합니다. OTP API에 임시로 더 엄격한 전역 Rate Limit을 적용하여 비용 출혈을 막습니다. 근본적인 해결책으로 IP 기반 외에 사용자 계정, 전화번호, 디바이스 ID를 조합한 다층 Rate Limiting을 구현합니다. 예를 들어 동일 전화번호로 시간당 3회, 동일 디바이스로 10회, 전체 API로 분당 100회 같은 계층적 제한을 설정합니다. 비로그인 상태의 요청에는 더 엄격한 제한을 적용하고, CAPTCHA를 추가하여 자동화된 공격을 차단합니다. Redis 같은 분산 캐시를 사용하여 여러 API Gateway 인스턴스 간에 카운터를 공유하고, Sliding Window 알고리즘을 적용하여 정교한 제어를 구현합니다. 비정상 패턴 탐지를 위해 머신러닝 기반 이상 탐지 시스템을 도입하고, SMS 발송량이 임계치를 초과하면 자동으로 알람을 발송하고 서비스를 일시 중단하는 서킷 브레이커를 구현합니다.