새로운 고객용 파일 공유 기능을 만든다고 해 봅시다. 화면과 API는 완성됐고 마지막 주에 보안 점검을 시작합니다. 그때 ‘링크를 아는 사람이면 누구나 다운로드할 수 있다’는 설계 자체의 문제가 발견되면 수정 비용이 큽니다. 위협 모델링은 코드를 다 만든 뒤 취약점을 찾는 행사보다 기능을 설계할 때 누가 무엇을 악용할 수 있는지 미리 그려 보는 대화에 가깝습니다.
첫 15분: 기능의 데이터 흐름을 그린다
복잡한 인프라 다이어그램은 필요 없습니다. 사용자 브라우저, 웹 서버, 인증 서비스, 파일 저장소, 알림 서비스와 관리자 화면을 박스로 그립니다. 파일이 어디서 업로드되고 어디에 저장되며 어떤 링크로 다운로드되는지 화살표를 붙입니다. 각 화살표에 데이터 종류와 요청 주체를 적으면 설계에서 빠진 부분이 보입니다. OWASP의 위협 모델링 치트시트도 시스템 이해와 데이터 흐름도를 출발점으로 설명합니다.
여기서 선을 하나 더 그립니다. 인터넷과 내부 서비스 사이, 일반 사용자와 관리자 사이, 우리 시스템과 외부 업체 사이의 신뢰 경계입니다. 같은 네트워크 안에 있다고 해서 모두 믿을 수 있는 것은 아닙니다. 경계를 넘어오는 데이터는 누가 보냈는지, 무엇을 할 권한이 있는지, 형식이 올바른지 따로 검증해야 합니다.
다음 20분: 가장 그럴듯한 오용을 질문한다
파일 ID를 바꾸면 다른 회사 파일이 열리는가? 공유 링크가 유출되면 기간과 대상 제한이 있는가? 사용자가 업로드한 파일을 다른 사람이 실행하게 만들 수 있는가? 관리자 권한이 해제된 직후에도 기존 세션이 계속 동작하는가? 이런 질문은 기술 용어를 몰라도 제품의 업무 흐름을 이해하는 사람이면 제기할 수 있습니다.
STRIDE는 사칭, 변조, 부인, 정보 노출, 서비스 거부, 권한 상승을 떠올리게 해 주는 도구입니다. 모든 칸을 기계적으로 채우는 것이 목표는 아닙니다. 실제로 손해가 큰 흐름부터 봅니다. OWASP는 하나의 정해진 방법만이 정답은 아니며 시스템 모델링, 위협 파악, 대응, 검토가 핵심이라고 설명합니다. 작은 팀이라면 ‘가능성이 있고 피해가 큰 세 가지’를 먼저 골라도 충분히 시작할 수 있습니다.
그다음 15분: 통제와 확인 방법을 붙인다
예를 들어 다른 회사 파일 접근 위험에는 서버 측 테넌트 권한 검사를 붙이고, 테스트로 다른 테넌트의 파일 ID를 넣어 거부되는지 확인합니다. 유출된 링크에는 짧은 만료와 폐기 기능을 검토합니다. 악성 파일 업로드에는 파일 형식 확인, 격리 저장, 스캔과 안전한 다운로드 처리를 조합합니다. 완벽한 방어 하나보다 위험과 테스트가 연결돼 있어야 팀이 실행할 수 있습니다.
권한 검사는 프론트엔드 버튼 숨기기로 끝나지 않습니다. API가 모든 요청에서 실제 사용자와 리소스의 관계를 확인해야 합니다. 작업 큐로 넘어간 후에도 ‘요청 시점의 권한을 믿을지, 실행 시점에 다시 확인할지’를 명시합니다. 이런 결정은 기능 동작과도 관련되므로 보안팀만의 메모로 남겨서는 안 됩니다.
마지막 10분: 남은 위험의 주인을 정한다
모든 위협을 이번 릴리스에서 해결할 수는 없습니다. 중요한 것은 미해결 위험을 숨기지 않는 것입니다. 위험의 영향, 임시 완화책, 담당자와 재검토 시점을 남깁니다. 설계가 바뀌거나 새 외부 연동이 생기면 그림을 다시 봅니다. 이 문서가 길어지는 것보다 실제 변경을 따라가는 것이 중요합니다.
업무 로직도 잊지 않습니다. OWASP의 비즈니스 로직 보안 안내는 사용자가 순서를 건너뛰거나 같은 작업을 반복하거나 두 기기에서 동시에 수행할 때의 위험을 묻도록 권합니다. 기술적으로 정상적인 API 호출도 잘못된 순서에서는 악용이 될 수 있기 때문입니다.
한 장으로 끝내는 결과물
- 주요 데이터 흐름과 신뢰 경계가 표시된 그림
- 우선순위가 높은 오용 시나리오 세 가지
- 각 위험의 통제 방법과 재현 가능한 테스트
- 남은 위험의 담당자와 재검토 날짜
한 시간의 위협 모델링이 모든 취약점을 없애지는 못합니다. 그래도 출시 전에 가장 중요한 설계 질문을 드러내고, 팀이 같은 위험을 보며 결정하게 만듭니다.
#위협모델링 #SaaS보안 #데이터흐름도 #신뢰경계 #접근제어 #STRIDE #보안설계 #웹서비스보안 #API보안 #개발프로세스
