주제문제 163개

Reverse Proxy Security

Reverse Proxy Security 관련 장애 문제 163개를 모았습니다. 검수된 문제부터 풀어 보세요.

먼저 읽을 가이드

IAM, TLS, WAF 장애를 보안 운영 흐름으로 나누는 법인증, 인가, certificate, WAF, audit log 신호가 섞여 하나의 접근 실패처럼 보이는 상황Security2분 읽기 mTLS trust bundle 불일치를 분리하는 법client certificate, server certificate, CA bundle, sidecar reload 시점이 서로 달라 handshake가 실패하는 상황Security2분 읽기 WAF 403 false positive를 안전하게 진단하는 법권한 문제처럼 보이지만 특정 header, payload, rule group이 정상 요청을 차단하는 상황Security2분 읽기

추천 문제

검수된 문제를 먼저, 그다음 시나리오가 자세한 문제를 보여 줍니다.

SECURITY-1192인증 강화가 API 클라이언트를 깨뜨림공개 강화 체크리스트가 프록시 헤더 동작을 바꿨습니다. 브라우저 인증은 괜찮아 보이는데, 앱이 기대하던 scheme과 host 헤더를 더는 보지 못해 하위 API 흐름이 깨집니다.Security중급18분Pro

모든 문제 163개

SECURITY-1192인증 강화가 API 클라이언트를 깨뜨림공개 강화 체크리스트가 프록시 헤더 동작을 바꿨습니다. 브라우저 인증은 괜찮아 보이는데, 앱이 기대하던 scheme과 host 헤더를 더는 보지 못해 하위 API 흐름이 깨집니다.Security중급18분Pro SECURITY-1381Cloudflare mTLS 정책이 주 API는 보호하는데 버전 경로 하나가 열려 있음제로 트러스트 API 배포가 끝났는데 버전이 붙은 경로 하나가 기대한 클라이언트 인증서 없이 계속 도달 가능합니다.Security고급14분Pro SECURITY-1376fail2ban 계열 파서가 모든 요청을 CDN edge로 인식프록시 신뢰 설정을 갱신한 뒤 자동 차단이 남용 클라이언트 대신 CDN edge나 무해한 중간 장비를 때리기 시작합니다.Security고급14분Pro SECURITY-1345Cloudflare Access로 보호된 앱이 관리 포트를 노출팀이 앱을 Access 뒤에 뒀는데, 보안 검토에서 관리자 포트가 origin host에 여전히 직접 도달 가능함이 드러납니다.Security고급15분Pro NETWORK-1351Cloudflare Tunnel 앱은 계속 도달되는데 WebSocket upgrade가 실패Tunnel 뒤의 사설 앱이 정상으로 보이는데, 프록시를 정리한 뒤 실시간 터미널이나 WebSocket 기능만 깨지기 시작합니다.Network고급15분Pro NETWORK-1328Cloudflare Tunnel의 WebSocket 경로가 서비스 하나에서만 불안정Tunnel 뒤의 서비스가 일반 요청에는 정상인데, 프록시를 바꾼 뒤 실시간 채널만 간헐적으로 실패합니다.Network고급15분Pro SECURITY-1334CrowdSec 또는 Fail2ban 방식의 차단 파이프라인이 엉뚱한 source를 차단팀이 보호된 서비스 앞에 리버스 프록시를 넣은 뒤, 차단이나 rate limit 조치가 남용 클라이언트 대신 프록시 주소를 때립니다.Security고급15분Pro SECURITY-1308CSP nonce 구현이 origin에서는 맞는데 여전히 안전하지 않음팀이 CSP nonce를 도입했는데, 캐시된 HTML 껍데기 때문에 운영에서 같은 nonce가 반복해서 나타납니다.Security고급15분Pro CICD-1364NGINX 뒤 사설 registry가 로그인과 작은 레이어는 잘 처리하는데 큰 pull이 실패registry를 경로별 rate limit으로 강화한 뒤, 느린 회선에서 큰 이미지 pull만 간헐적으로 실패하기 시작합니다.CI/CD고급15분Pro NETWORK-1349NGINX 인증 흐름이 일반 페이지에는 되는데 관리자 route 하나에서 Cloudflare Access 헤더가 사라짐프록시 애플리케이션이 edge에서는 제대로 인증되는데, 내부 라우팅을 정리한 뒤 관리자 경로 하나가 unauthorized를 반환하기 시작합니다.Network고급15분Pro SECURITY-1372OpenSearch 대시보드 SSO 흐름이 GET에서는 되고 로그인 후 실패브라우저 강화를 배포한 뒤 대시보드 복귀 경로에서만 SSO 사용자가 로그인으로 되돌아갑니다.Security고급15분Pro NETWORK-1339Tunnel과 WARP 경로는 정상으로 보이는데 내부 앱 하나가 계속 실패Tunnel 뒤의 사설 앱이 edge에서는 인증되는데, 내부 NGINX 리다이렉트를 유발하는 경로에서만 백엔드 인가가 실패합니다.Network고급15분Pro SECURITY-1339WAF 챌린지 정책이 주 앱은 보호하는데 관리자 경로 하나가 노출강화된 edge 설정을 배포했는데, 감사에서 관리자 경로 하나가 실제로는 챌린지 정책을 물려받은 적이 없다는 게 드러납니다.Security고급15분Pro SECURITY-1320규칙 갱신 후 WAF가 JSON API 하나만 차단관리형 WAF ruleset을 갱신한 뒤 오래된 파트너 연동 하나만 JSON 엔드포인트에서 차단을 받기 시작합니다.Security고급15분Pro SECURITY-1330제로 트러스트 정책이 서비스 토큰을 허용하는데도 백엔드가 계속 403팀이 서비스 토큰으로 health check나 API 연동을 자동화했는데, edge 수준 인가는 성공하는데도 백엔드가 요청을 거부합니다.Security고급15분Pro SECURITY-1311Cloudflare Access 정책은 맞아 보이는데 API 하나가 계속 403내부 API를 새 Access 애플리케이션 뒤로 옮겼는데, 인증된 것처럼 보이는 브라우저 세션에서 일부 사용자만 계속 403을 받습니다.Security고급16분Pro SECURITY-1303Cloudflare Access가 앱 전반은 보호하는데 캐시된 경로 하나가 신원 헤더 없이 origin에 도달origin이 CF Access 헤더를 신뢰하는데, 정적처럼 취급되는 route 하나가 기대한 신원 컨텍스트 없이 그것에 도달하기 시작합니다.Security고급16분Pro SECURITY-1262SameSite 쿠키 설정이 특정 브라우저 경로에서만 SSO를 깨뜨림구조적 장애 대응 훈련용 보안 장애 시나리오입니다.Security고급16분Pro SECURITY-1304WAF 커스텀 규칙이 canary URL만 차단보안 팀이 운영 트래픽에 맞춰 WAF 규칙을 조정했는데 canary 경로만 같은 시그니처로 계속 실패합니다.Security고급16분Pro SECURITY-1297로그인 rate limiter가 직접 트래픽에는 통하고 프록시 경로 하나에서는 안 통함남용 통제가 한 환경에서는 효과적으로 보이고, 더 복잡한 프록시 체인을 지나는 route에서 실패합니다.Security고급16분Pro