February 2021
Beginner to intermediate
372 pages
6h 48m
Korean
Content preview from 웹 애플리케이션 보안: 정찰, 공격, 방어 세 단계로 배우는 웹 애플리케이션 보안의 모든 것
Become an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month,
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.I wanted to learn C and C++, but it didn't click for me until I picked up an O'Reilly book. When I went on the O’Reilly platform, I was astonished to find all the books there, plus live events and sandboxes so you could play around with the technology.I’ve been on the O’Reilly platform for more than eight years. I use a couple of learning platforms, but I'm on O'Reilly more than anybody else. When you're there, you start learning. I'm never disappointed.I'm always learning. So when I got on to O'Reilly, I was like a kid in a candy store. There are playlists. There are answers. There's on-demand training. It's worth its weight in gold, in terms of what it allows me to do.
348
3
부
방어
자동화된 방식으로 수행할 수 있다.
의존성 트리에서 취약점을 찾는 가장 쉬운 방식은 애플리케이션의 의존성 트리를 잘 알려진
CVE
데이터베이스와 비교하는 것이다. 이러한 데이터베이스는 퍼스트 파티 애플리케이션에
많이 사용되는 유명한
OSS
패키지의 취약점 목록과 재현 방법을 제공한다.
서드파티 스캐너 (예:
Synk
)를 다운로드하거나 의존성 트리를 리스트로 변환하는 스크립
트를 직접 작성해 원격
CVE
데이터베이스와 비교할 수 있다.
npm
세계에서는
npm
list
--
depth
=[깊이]
명령으로 이러한 과정을 시작할 수 있다.
취약점 데이터베이스는 여러 가지가 있는데 그중 미국 정부가 지원하는
NIST
가 오랫동안 존속
될 가능성이 높으므로부터 먼저 시도해보자 (
https
://
nvd
.
nist
.
gov
/
).
27.2
안전한 통합 기법
2
부에서는 공격자 입장에서 여러 기법을 평가하고 장단점을 논의했다.
이제 애플리케이션 소유자 관점에서 통합에 대해 생각해보자. 가장 안전한 서드파티 의존성 통
합 방식은 무엇인가?
27.2.1
걱정거리를 분리
주 애플리케이션 서버에 서드파티 코드를 통합하는 데 따르는 한 가지 위험은 코드에 부작용이
있거나 최소 권한 원칙이 올바로 구현되지 않은 경우 침해로 시스템 리소스와 기능을 독점할
수 있다는 것이다. 이러한 위험을 완화하는 한 가지 방법은 서드파티 의존성을 자체 서버에서
실행하는 것이다 (여러분의 조직에서 직접 관리하는 것이 이상적이다 ).
자체 서버에 통합을 구성한 뒤 서버가
HTTP
를
Become an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month,
and much more.
Read now
Unlock full access
More than 5,000 organizations count on O’Reilly
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.Julian F.
I wanted to learn C and C++, but it didn't click for me until I picked up an O'Reilly book. When I went on the O’Reilly platform, I was astonished to find all the books there, plus live events and sandboxes so you could play around with the technology.Addison B.
I’ve been on the O’Reilly platform for more than eight years. I use a couple of learning platforms, but I'm on O'Reilly more than anybody else. When you're there, you start learning. I'm never disappointed.Amir M.
I'm always learning. So when I got on to O'Reilly, I was like a kid in a candy store. There are playlists. There are answers. There's on-demand training. It's worth its weight in gold, in terms of what it allows me to do.