백엔드 개발자를 위한 보안 바이블: 데이터와 API를 지키는 기술

김수홍 지음

콩콩컴퍼니 2025년 09월 30일 출간

작품소개

책소개

오늘도 수많은 서비스가 API 하나로 세상과 연결됩니다.
그 연결점이 곧 공격자에게는 기회가 되고, 사용자에게는 신뢰의 기준이 됩니다.
이 책은 실무에서 반드시 알아야 할 백엔드 보안 원칙과 기법을 개발자 관점에서 쉽고 바로 적용 가능하도록 정리한 실전 지침서입니다.
단순한 이론서가 아니라, 매일 코드와 배포를 책임지는 개발자가 당장 프로젝트에 적용할 수 있는 체크리스트와 구현 예제를 중심으로 구성했습니다.

누구를 위한 책인가?
서비스의 API를 설계·운영하는 백엔드 개발자
스타트업이나 중소 서비스에서 보안을 '기능'으로 도입하려는 엔지니어
보안 담당자와 협업하는 개발자, DevOps/플랫폼 엔지니어
보안 면접 준비와 실무 포트폴리오를 만들고 싶은 개발자

무엇을 배우는가?
인증·인가의 핵심 개념부터 안전한 로그인·세션 설계, JWT와 RBAC/ABAC 실무 적용법
SQL Injection, XSS, CSRF 등 주요 공격 유형과 백엔드 중심의 방어 기법
HTTPS/TLS 설정, 데이터 암호화, 민감정보 취급과 관련 법규 대응 방법
API 운영에서의 안정성 확보: Rate Limiting, 시크릿 수명주기 관리, 보안 헤더 설정

목차

프롤로그: 당신의 코드는 생각보다 많은 것을 알고 있다

Part 1: 왜 지금, 백엔드 보안인가? (기초 다지기)
Chapter 1: 개발자의 손에 달린 보안의 무게
1-1. 코드는 비즈니스의 자산이자 책임이다
1-2. 보안은 기능이다 (Security as a Feature)
1-3. '나중에'는 없다: 개발 초기부터 고려해야 할 보안 (Shift-Left Security)
1-4. 보안 사고가 개발자 커리어에 미치는 영향
Chapter 2: 공격자의 관점에서 시스템 바라보기
2-1. 위협 모델링(Threat Modeling) 시작하기: 어디가, 어떻게 공격받을 수 있을까?
2-2. 공격 표면(Attack Surface) 분석과 축소 전략
2-3. 핵심 보안 원칙 1: 최소 권한 원칙(Principle of Least Privilege)
2-4. 핵심 보안 원칙 2: 심층 방어(Defense in Depth)

Part 2: 반드시 막아야 할 핵심 공격과 방어 기법 (핵심 실무)
Chapter 3: 인증 (Authentication) - "당신은 누구인가?"
3-1. 패스워드 저장의 정석: 해싱, 솔트, 페퍼
3-1-1. 왜 그냥 해싱만으로는 부족한가? (레인보우 테이블 공격)
3-1-2. 안전한 해시 알고리즘 선택 가이드 (bcrypt, scrypt, Argon2 비교)
3-2. 안전한 로그인 API 설계와 세션 관리
3-2-1. 로그인 실패 처리와 무차별 대입 공격(Brute-force) 방어
3-2-2. 상태 기반 세션과 상태 비저장 토큰 방식 비교
3-3. 세션 하이재킹 방어: Secure, HttpOnly, SameSite 쿠키 속성의 올바른 사용법
3-4. 소셜 로그인과 Single Sign-On: OAuth 2.0과 OpenID Connect(OIDC)
3-4-1. 역할 구분: OAuth 2.0은 '인가', OIDC는 '인증' 프레임워크
3-4-2. 구현 시 흔히 발생하는 보안 실수와 방어책
3-5. 다중 요소 인증(MFA, Multi-Factor Authentication) 도입 전략
Chapter 4: 인가 (Authorization) - "무엇을 할 수 있는가?"
4-1. 접근 제어 실패(OWASP A01:2021) 유형별 분석
4-2. 역할 기반 접근 제어(RBAC, Role-Based Access Control) 설계와 구현
4-3. [심화] 속성 기반 접근 제어(ABAC, Attribute-Based Access Control) 소개와 활용 사례
4-4. JWT(JSON Web Token) 완전 정복
4-5. 안전하지 않은 직접 객체 참조(IDOR, Insecure Direct Object References) 방어 기법
Chapter 5: 입력과 출력, 모든 경계를 의심하라
5-1. SQL Injection 방어의 제1원칙: Prepared Statements (매개변수화된 쿼리)
5-2. 크로스 사이트 요청 위조(CSRF, Cross-Site Request Forgery) 공격의 원리와 방어
5-3. 크로스 사이트 스크립팅(XSS, Cross-Site Scripting) 방어: 백엔드의 역할
5-4. 안전한 파일 업로드 구현
5-5. 그 외 주요 삽입 공격: OS Command, NoSQL, Log Injection
Chapter 6: 데이터 보호 - "민감 정보는 어떻게 지켜야 하는가?"
6-1. 전송 중인 데이터 보호: HTTPS/TLS 설정과 HSTS
6-2. 저장된 데이터 보호(Data at Rest): 대칭키 암호화(AES-256)
6-3. 민감 데이터 노출(Sensitive Data Exposure) 방지 전략
6-4. 법규 준수: 개인정보보호법(PIPA)과 개발자의 책임
Chapter 7: 견고한 API 설계와 운영
7-1. 서비스 거부(DoS/DDoS) 공격 방어: Rate Limiting과 Throttling 구현
7-2. API 키와 Secret의 생명주기 관리 (발급, 저장, 교체, 폐기)
7-3. CORS(Cross-Origin Resource Sharing) 정책의 올바른 이해와 최소화 설정
7-4. 주요 보안 헤더(Security Headers) 설정 가이드 (CSP, X-Frame-Options 등)
7-5. 안전한 에러 처리: 스택 트레이스 대신 일반화된 에러 메시지 반환

Part 3: 견고한 시스템을 위한 보안 아키텍처와 문화 (심화 과정)
Chapter 8: 시큐어 코딩과 DevSecOps
8-1. Shift Left: 개발 생명주기(SDLC)에 보안 통합하기
8-2. 정적 분석(SAST)과 동적 분석(DAST) 도구의 활용
8-3. 소프트웨어 구성 분석(SCA): 오픈소스 의존성 취약점 관리 (Snyk, Dependabot)
8-4. 코드형 인프라(IaC, Infrastructure as Code) 보안
Chapter 9: 클라우드와 컨테이너 환경에서의 보안
9-1. 클라우드 IAM(Identity and Access Management)을 통한 최소 권한 원칙 구현
9-2. 시크릿 관리(Secret Management) 고급: 환경변수의 한계와 Vault, AWS/GCP Secrets Manager 활용
9-3. 안전한 컨테이너 이미지 빌드와 런타임 보안
9-4. [심화] API 게이트웨이를 활용한 보안 아키텍처 구축
Chapter 10: 로깅, 모니터링 그리고 사고 대응
10-1. 무엇을, 어떻게 기록할 것인가: 효과적인 보안 로깅 전략
10-2. 이상 징후 탐지, 자동 알림 시스템 구축 (SIEM 연동 고려)
10-3. 보안 사고 대응 계획(Incident Response Plan)과 개발자의 역할
10-4. [실습] 모의 해킹과 사후 분석(Post-mortem) 작성하기

Part 4: 실전! 보안 강화 프로젝트 (부록 및 실습)
Chapter 11: 케이스 스터디: 취약한 쇼핑몰 API 보안 강화하기
11-1. 요구사항 분석 및 위협 모델링
11-2. 인증/인가 취약점 개선 (Weak Password, IDOR, Broken Access Control)
11-3. 주요 API 엔드포인트 보안 강화 (SQL Injection, XSS, CSRF)
11-4. DevSecOps 파이프라인 연동 및 배포
부록
부록 A: 백엔드 개발자를 위한 보안 체크리스트 (설계, 개발, 배포, 운영 단계별)
부록 B: 유용한 보안 도구 및 리소스 (OWASP, Snyk, Burp Suite 등)
부록 C: 보안 용어집 (Glossary)

인물정보

저자(글) 김수홍