이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 NIST SP 800-207, OWASP 공식 SSRF 방어 가이드, 과학기술정보통신부·국가정보원·KISA 등이 공동 마련한 SW 공급망 보안 가이드라인 안내를 근거로 작성했다.

문제 1 — 제로트러스트의 기본 원칙

문제

NIST SP 800-207의 제로트러스트 아키텍처 설명에 가장 부합하는 것은?

선택지

  1. 사내 네트워크에 연결된 단말은 위치만으로 모든 내부 자원에 신뢰를 부여한다.
  2. 물리적 네트워크 위치와 무관하게 사용자·기기를 인증하고 자원 단위로 접근을 결정한다.
  3. 인터넷 경계에 방화벽을 하나만 배치하면 내부 자원별 접근제어는 불필요하다.
  4. 제로트러스트는 네트워크 세그먼트 보호만을 목표로 하며 애플리케이션·데이터는 범위 밖이다.

정답

2번

해설

NIST SP 800-207은 자산이나 사용자 계정에 물리적·네트워크 위치만으로 묵시적 신뢰를 부여하지 않고, 세션이 자원에 설정되기 전에 주체와 기기를 인증·인가하는 원칙을 설명한다. 핵심 대상도 네트워크 세그먼트가 아니라 자원(서비스·데이터·워크플로 등)이다. [1]

오답 포인트

“내부망이면 안전하다”는 경계 기반 보안의 가정이다. 제로트러스트는 방화벽을 없앤다는 뜻이 아니라 위치 기반의 자동 신뢰를 제거하고 자원·주체·기기·정책을 기준으로 지속적인 접근 결정을 강화한다는 뜻이다.

출처 또는 검증 근거

[1] NIST, SP 800-207 Zero Trust Architecture, https://csrc.nist.gov/pubs/sp/800/207/final

문제 2 — SSRF 방어 설계

문제

사용자가 입력한 주소로 서버가 외부 자원을 조회하는 기능에서 OWASP가 권고하는 SSRF 방어에 가장 적절한 것은?

선택지

  1. 차단할 문자열 목록만 정규식으로 만들고 모든 URL을 허용한다.
  2. 사용자가 입력한 완전한 URL을 그대로 요청하고 리다이렉트는 따른다.
  3. 허용 대상의 호스트·주소·포트·경로를 allowlist로 제한하고, 애플리케이션·네트워크 계층에서 함께 통제한다.
  4. 서버가 내부망에 있으므로 애플리케이션 입력 검증을 생략한다.

정답

3번

해설

OWASP SSRF Prevention Cheat Sheet는 식별된 신뢰 대상만 통신해야 하는 경우 allowlist를 적용하고, 애플리케이션 계층의 입력 검증과 네트워크 계층의 방어를 함께 적용하는 심층 방어를 권고한다. 리다이렉트, DNS rebinding, 검증 시점과 연결 시점의 주소 불일치도 고려해야 한다. [2]

오답 포인트

denylist와 단순 정규식은 우회 표현·리다이렉트·DNS rebinding에 취약할 수 있다. “URL을 검증했다”는 사실만으로 실제 연결 목적지가 검증된 것은 아니므로, 검증한 주소로 연결이 고정되는지 확인해야 한다.

출처 또는 검증 근거

[2] OWASP, Server-Side Request Forgery Prevention Cheat Sheet, https://cheatsheetseries.owasp.org/cheatsheets/Server_Side_Request_Forgery_Prevention_Cheat_Sheet

문제 3 — SW 공급망과 SBOM

문제

SW 공급망 보안에서 SBOM의 주된 활용 목적으로 가장 적절한 것은?

선택지

  1. 소프트웨어의 모든 취약점이 자동으로 제거되었음을 보증한다.
  2. 소프트웨어 구성요소와 의존성 정보를 문서화해 취약점·라이선스·추적성 관리를 돕는다.
  3. 운영 중인 시스템의 방화벽 규칙을 SBOM 파일만으로 대체한다.
  4. 개발사가 소스코드를 공개하지 않아도 구성요소 정보는 필요 없다.

정답

2번

해설

KISA가 게시한 SW 공급망 보안 가이드라인 관련 안내는 SBOM을 SW 구성요소 정보를 나열·문서화하는 수단으로 설명하며, 이를 통해 라이선스·취약점 관리와 추적성을 높일 수 있다고 안내한다. SBOM은 가시성과 대응 기반을 제공하지만 취약점 자체를 자동 제거하거나 보안을 보증하는 도구는 아니다. [3]

오답 포인트

SBOM은 예방·탐지·대응 통제 중 구성요소 식별과 영향 분석을 돕는 자산이다. 생성만 하고 버전·출처·취약점 정보와 연결하지 않으면 최신 공급망 위험을 판단하기 어렵다.

출처 또는 검증 근거

[3] KISA, 「SW 공급망 보안 가이드라인 1.0」 게시 안내, https://www.kisa.or.kr/2060204