웹 애플리케이션 보안 완벽 가이드

책의 기본 정보

출판사

위키북스

출간일

2019-10-04

분량

656쪽

ISBN

9791158391690

기능이 작동하는 것과 안전하게 작동하는 것은 다릅니다

웹 애플리케이션 보안 완벽 가이드는 웹의 취약점이 왜 생기는지와 안전한 개발을 위해 무엇을 확인할지 다루는 책입니다. 2019년 10월 출간된 656쪽 인쇄본이며 PHP 기반 예제를 사용합니다. 특정 도구의 결과만 보는 것보다 입력과 상태, 권한의 처리에서 어떤 문제가 생길 수 있는지 이해하려는 개발자가 비교할 수 있습니다.

책 제목의 완벽이라는 표현을 현재 모든 위험을 빠짐없이 다룬다는 뜻으로 받아들이지는 않는 편이 좋습니다. 인쇄본이 설명하는 범위를 살펴보고 자신이 사용하는 기술과 환경에서 추가로 확인할 항목을 구분해야 합니다. 처음 읽을 때에는 공격 방법의 이름을 모으기보다 취약점의 원인과 방어할 위치를 연결하는 질문에 중심을 둘 수 있습니다.

이 책의 특징: 기초 원리와 개발 과정의 검토를 연결합니다

HTTP와 세션 관리, 동일 출처 정책과 CORS 같은 웹의 기본을 살펴보고 기능별 취약점과 대응을 다룹니다. 이어 개발 전에 고려할 보안 기능과 진단, 보고와 관리의 흐름까지 범위를 넓힙니다. 코드의 한 줄을 고치는 일과 서비스의 권한·상태를 설계하는 일이 어떻게 다른지 생각하며 읽을 수 있는 구성입니다.

출판사는 예제를 위한 가상 환경을 안내합니다. 학습할 때는 자신이 소유하거나 명확한 허가를 받은 연습 환경을 이용해야 합니다. 책에 진단 도구가 등장한다는 이유로 다른 사람의 사이트나 시스템을 시험할 권한이 생기지는 않습니다. 원리를 이해하고 방어를 확인하는 목적과 실제 서비스에 영향을 주는 행동의 범위를 분명하게 나누어 주세요.

문제가 생기는 조건과 수정 후 확인할 점을 짝지어 보세요

예제를 읽은 뒤에는 어떤 입력과 상태에서 문제가 생기는지, 수정하려는 조건은 무엇인지 문장으로 적어 보세요. 단순히 특정 문자열을 막았다는 결과보다 데이터가 어떤 경계를 지나고 어떤 권한으로 처리되는지 생각하는 방식입니다. 책의 코드를 그대로 외우기보다 원인과 대응을 설명하는 작은 기록을 남길 수 있습니다.

수정 후에는 정상 기능이 유지되는지도 함께 확인할 필요가 있습니다. 허용해야 할 입력과 거절해야 할 입력을 구분하고 예상하는 결과를 적어 보세요. 안전성 점검과 기능 검증을 서로 다른 일로만 보지 않는 연습입니다. 실제 서비스의 계정이나 민감한 자료를 연습에 끌어오기보다 격리된 자료와 환경에서 개념을 확인하는 편이 적절합니다.

오래된 도구 환경과 현재 기준을 구분합니다

2019년 판본의 PHP와 실습 도구, 보안 지침의 버전은 현재 환경과 다를 수 있습니다. 책은 취약점의 원리와 개발의 질문을 공부하는 자료로 읽고 현재 지원 상태와 공식 권고는 따로 확인해 주세요. 오래된 예제가 실행되지 않을 때에는 환경의 차이와 코드의 의미를 구분하며 살펴보는 것이 좋습니다.

입문 단계에서 보안 전반의 용어가 낯설다면 개론서를 함께 비교할 수 있습니다. 반대로 웹의 요청과 세션을 이해하는 독자는 자신의 연습 코드에서 어떤 부분을 점검해야 할지 구체적인 질문을 얻을 수 있습니다. 책을 끝냈다는 사실만으로 실제 서비스의 안전성을 보장할 수는 없으므로 필요한 검토와 책임 범위를 별도로 남겨 두세요.

작가 소개

토쿠마루 히로시는 소프트웨어 개발과 기획, 인증·과금 기반 설계를 경험한 뒤 취약점 진단과 컨설팅 분야에서 활동해 온 저자입니다. 블로그와 스터디를 통해 보안 교육에도 참여했습니다. 양현·김민호·연구흠이 번역했습니다.

이 책과 함께 읽는 주제

• 웹 보안 책 추천: 취약점의 원리와 안전한 개발을 연결하기