Security Blog
보안 블로그
서비스를 만드는 사람을 위한 실무 보안 이야기. 취약점이 생기는 이유와 막는 방법을 정리합니다.
AWS 보안 설정 가이드: 초기 스타트업이 하루에 잠글 5가지
AWS 보안 설정을 루트 계정, IAM, S3, 보안 그룹, 감사 로그 순으로 정리했다. 소규모 팀이 하루 안에 점검하고 고칠 수 있는 명령어와 수정 전후 예시, 판단 기준을 담았다.
취약점 점검 리포트 읽는 법: 위험도 해석부터 조치 우선순위까지
취약점 점검 리포트의 위험도를 서비스 맥락으로 해석하고, 조치 순서 결정, 오탐 확인, 재점검 요청, 수정 완료 근거 정리까지 개발팀의 처리 흐름을 안내합니다.
개인정보 유출 사고 사례: 개인정보위 처분에서 반복된 원인 5가지
개인정보 유출 사고 사례를 개인정보위 처분 기준으로 분석해 반복된 원인 5가지를 정리하고, 개발팀이 바로 쓸 코드 예시와 점검 항목으로 바꿔 줍니다.
ISMS-P 준비, 스타트업 개발팀은 언제 무엇부터 할까
ISMS-P 준비를 앞둔 스타트업을 위해 2026년 10월 기준 의무 대상 판단법과 비용·기간, 그리고 개발팀이 접근통제·로그·환경 분리·변경관리를 코드와 인프라에 미리 넣는 순서를 정리했습니다.
Firebase 보안 규칙 가이드: 흔한 실수 3가지와 고친 규칙
Firebase 보안 규칙을 테스트 모드나 request.auth 확인만으로 출시하면 생기는 문제와 Firestore·Storage 규칙 수정법, 에뮬레이터 테스트 코드, 출시 전 체크리스트를 정리했습니다.
XSS 취약점이란? React·에디터·마크다운의 빈틈과 방어법
XSS 취약점이 무엇인지, React를 써도 dangerouslySetInnerHTML·리치 텍스트 에디터·마크다운·javascript: 링크에서 다시 생기는 이유를 취약한 코드와 고친 코드로 비교합니다. DOMPurify와 CSP 적용법도 함께 정리했습니다.
웹 취약점 스캐너 결과가 깨끗할 때 더 봐야 할 곳
ZAP 같은 무료 웹 취약점 스캐너가 잘 잡는 취약점과 구조적으로 놓치는 인가 누락·비즈니스 로직·다단계 흐름을 나누고, 결과가 깨끗할 때 추가로 점검할 곳을 체크리스트로 정리합니다.
Spring Security 설정 실수 7가지: 확인법과 고친 설정
Spring Security 설정에서 점검 때 자주 나오는 실수 7가지를 다룹니다. Actuator 노출, requestMatchers 순서, CORS 와일드카드, 스택트레이스, H2 콘솔을 확인하는 법과 고친 설정을 함께 정리했습니다.
SQL 인젝션 방어: ORM에서 다시 뚫리는 4곳
ORM을 써도 SQL 인젝션 방어가 끝나지 않는 이유를 설명합니다. JPA·Prisma·Sequelize에서 raw query, 동적 정렬, LIKE 검색, JSON 필터가 뚫리는 지점을 위험한 코드와 안전한 코드로 비교하고, 코드 리뷰 체크리스트도 정리했습니다.
고객사 보안 점검 대응 가이드: 체크리스트·증빙 준비법
고객사 보안 점검 대응이 막막한 스타트업을 위해 접근통제·암호화·접속기록·취약점 점검·사고 대응 질문별로 사실대로 답하는 법, 준비할 증빙, 미흡 항목 개선 계획 작성법을 정리했습니다.
API 키 유출 방지 체크리스트: 깃허브·앱·로그 점검 10가지
API 키 유출이 주로 생기는 Git 히스토리, 모바일 앱 번들, 에러 로그를 짚고, 출시 전에 점검할 10가지와 유출 직후 폐기·교체 순서를 체크리스트로 정리했습니다.
SSRF 취약점이란? 이미지 URL·웹훅에서 생기는 원인과 방어법
SSRF 취약점이 무엇인지, 링크 미리보기·이미지 URL 가져오기·웹훅 기능에서 클라우드 키가 새는 경로와 IMDSv2·DNS 재바인딩·리다이렉트 처리까지 코드로 정리한 방어 가이드.