피드로 돌아가기
Dev.toSecurity
원문 읽기
HTTP Security Headers 설정을 통한 XSS 및 Clickjacking 원천 차단
What are HTTP security headers — and which ones does your site actually need?
AI 요약
Context
기본 HTTP 설정만으로는 MIME sniffing, Clickjacking, XSS 등 브라우저 레벨의 취약점 노출 위험 존재. 특히 HTTPS 리다이렉트 이전의 초기 요청 단계에서 발생하는 중간자 공격(MITM)에 대한 구조적 방어 체계 부족.
Technical Solution
- HSTS(Strict-Transport-Security) 도입을 통한 강제 HTTPS 연결 및 초기 비암호화 요청 차단
- X-Content-Type-Options: nosniff 설정을 통한 브라우저의 MIME 타입 임의 추측 방지 및 파일 업로드 취약점 제거
- X-Frame-Options(DENY) 설정을 통한 타 도메인 내 iframe 임베딩 차단으로 Clickjacking 공격 방어
- Referrer-Policy(strict-origin-when-cross-origin) 적용으로 외부 요청 시 URL 내 민감 정보 유출 방지
- CSP(Content Security Policy)를 통한 허용 리스트 기반 리소스 로드 제어로 스크립트 주입 및 XSS 공격 무력화
- Content-Security-Policy-Report-Only 모드 선적용을 통한 서비스 가용성 확보 및 정책 검증 프로세스 구축
실천 포인트
1. HSTS 및 X-Content-Type-Options 즉시 적용
2. X-Frame-Options 또는 CSP frame-ancestors 설정 검토
3. Referrer-Policy를 통한 민감 데이터 유출 경로 점검
4. CSP 도입 시 Report-Only 모드로 영향도 분석 후 강제 적용