문제
LDAP 인젝션(LDAP Injection) 공격이 발생하는 근본 원인을 분석하고, 이를 완전히 차단하기 위한 다층 방어 전략을 4가지 이상 제시하시오. 각 방어 기법이 LDAP 쿼리의 어느 단계에서 작동하는지 명시할 것.
정답
LDAP 인젝션은 사용자 입력을 검증 없이 LDAP 필터나 DN 생성에 직접 포함시켜, 공격자가 특수문자와 논리 연산을 주입해 조회 조건을 조작하는 데서 발생한다. 방어 전략으로는 1) 입력 단계: 허용 문자 기반 검증과 길이 제한 적용, 2) 입력/필터 생성 단계: LDAP 특수문자(*, (, ), , NUL 등) 이스케이핑, 3) 쿼리 구성 단계: 안전한 LDAP API·빌더 사용으로 문자열 결합 방지, 4) 실행 단계: LDAP 서비스 계정 최소 권한 적용, 5) 운영 단계: 비정상 LDAP 조회 패턴 로깅 및 탐지, 6) 설계 단계: 인증·조회 로직 분리와 민감한 디렉터리 경로 접근 제한이 있다.
LDAP 특수문자 이스케이핑입력 검증안전한 LDAP API최소 권한로깅탐지
해설
LDAP 인젝션의 근본 원인은 사용자 입력이 LDAP 필터 구조를 바꿀 수 있도록 문자열로 직접 결합되는 것이다. 따라서 입력 검증과 이스케이핑은 입력 단계에서, 안전한 API 사용은 쿼리 구성 단계에서, 최소 권한은 실행 단계에서, 로깅·탐지는 운영 단계에서 작동한다. 여러 단계에서 동시에 방어해야 우회 가능성을 줄일 수 있다.