아래 설명에서 전체 솔루션을 확인하세요.
설명:
적절한 위치에 대한 작업 항목을 선택하세요.
인증 서버:
작업 항목: 액세스 권한 부여
권한 부여 서버의 역할은 사용자를 인증한 후 클라이언트 애플리케이션이 리소스에 액세스하는 데 사용할 수 있는 권한 부여 코드 또는 토큰을 발급하는 것입니다. 액세스 권한을 부여하려면 서버가 리소스 소유자를 인증하고 클라이언트 애플리케이션에 필요한 토큰을 제공해야 합니다.
리소스 서버:
작업 항목: 발급된 토큰에 액세스
리소스 서버는 클라이언트 애플리케이션에서 요청한 리소스를 제공하는 역할을 합니다. 클라이언트가 요청된 데이터에 액세스할 수 있는 권한이 있는지 확인하기 위해 권한 부여 서버에서 발급된 토큰을 검증해야 합니다.
B2B 클라이언트 애플리케이션:
작업 항목: 다른 애플리케이션에 대한 액세스 권한 부여
B2B 클라이언트 애플리케이션은 사용자의 자격 증명을 직접 알지 않고도 사용자를 대신하여 액세스 권한을 부여하기 위해 OAuth 흐름을 처리해야 합니다. 여기에는 권한 부여 서버에서 권한 부여 토큰을 획득하고 이를 사용하여 리소스 서버에 대한 액세스를 요청하는 것이 포함됩니다.
상세한
OAuth 2.0은 웹 애플리케이션, 데스크톱 애플리케이션, 휴대폰 및 거실 기기에 대한 특정 권한 부여 흐름을 제공하도록 설계되었습니다. 통합에는 다음을 포함한 여러 단계와 구성 요소가 포함됩니다.
리소스 소유자(사용자):
사용자는 액세스하는 데이터와 리소스를 소유합니다.
클라이언트 애플리케이션(B2B 클라이언트 애플리케이션):
리소스 소유자가 제어하는 ​​리소스에 대한 액세스를 요청하지만 사용자의 자격 증명을 직접 처리하지 않습니다. 대신 OAuth 흐름을 통해 얻은 토큰을 사용합니다.
인증 서버:
리소스 소유자의 인증을 처리하고 인증에 성공하면 클라이언트 애플리케이션에 액세스 토큰을 발급합니다.
리소스 서버:
클라이언트 애플리케이션이 액세스하려는 리소스를 호스팅합니다. 리소스에 대한 액세스를 허용하기 전에 권한 부여 서버에서 발급한 액세스 토큰을 확인합니다.
OAuth 워크플로:
리소스 소유자가 클라이언트 애플리케이션에 액세스합니다.
클라이언트 애플리케이션은 인증을 위해 리소스 소유자를 권한 부여 서버로 리디렉션합니다.
권한 부여 서버는 리소스 소유자를 인증하고 클라이언트 애플리케이션에 대한 액세스 권한을 부여하는 데 대한 동의를 요청합니다.
동의가 있으면, 인증 서버는 클라이언트 애플리케이션에 인증 코드나 토큰을 발급합니다.
클라이언트 애플리케이션은 승인 코드나 토큰을 사용하여 리소스 서버에서 리소스에 대한 액세스를 요청합니다.
리소스 서버는 권한 부여 서버를 통해 토큰을 검증하고, 유효한 경우 요청된 리소스에 대한 액세스를 허가합니다.
참조:
CompTIA Security+ 학습 가이드: OAuth를 포함한 다양한 인증 및 권한 부여 프로토콜에 대한 포괄적인 정보를 제공합니다.
OAuth 2.0 인증 프레임워크(RFC 6749): OAuth 2.0 프레임워크, 흐름 및 구성 요소를 자세히 설명하는 공식 문서입니다.
OAuth 2.0 Simplified: Aaron Parecki가 쓴 책으로, OAuth 2.0 프로토콜에 대한 자세하면서도 이해하기 쉬운 설명을 제공합니다.
OAuth 워크플로의 각 구성 요소가 지정된 역할을 수행하도록 보장함으로써 B2B 클라이언트 애플리케이션은 최소 권한의 원칙을 준수하여 사용자 자격 증명을 손상시키지 않고 필요한 리소스에 안전하게 액세스할 수 있습니다.

이 표는 다양한 지역에서 웹사이트에 접속하는 사용자의 로드 시간이 다르게 나타나는 것을 보여줍니다. 호주와 인도 고객은 미국 고객에 비해 로드 시간이 훨씬 더 길었습니다. 이는 지연 시간과 지리적 거리가 웹사이트 성능에 영향을 미치고 있음을 시사합니다.
A. IDS(침입 탐지 시스템): IDS는 악성 활동을 탐지하는 데 유용하지만, 지연 시간 및 콘텐츠의 지리적 분포와 관련된 성능 문제는 해결하지 못합니다.
B. CDN(콘텐츠 전송 네트워크): CDN은 웹사이트 콘텐츠의 사본을 여러 지리적 위치에 저장합니다. 사용자에게 가장 가까운 서버에서 콘텐츠를 제공함으로써 CDN은 로드 시간을 크게 단축하고 전 세계적으로 사용자 경험을 향상시킬 수 있습니다.
C. WAF(웹 애플리케이션 방화벽): WAF는 HTTP 트래픽을 필터링하고 모니터링하여 웹 애플리케이션을 보호하지만 지리적 지연과 관련된 성능은 향상시키지 않습니다.
D. NAC(네트워크 접근 제어): NAC 솔루션은 네트워크 리소스에 대한 접근을 제어하지만 웹 성능 문제를 해결하도록 설계되지 않았습니다.
로그 출력에서 ​​관찰되는 성능 문제를 해결하기 위한 가장 좋은 솔루션은 CDN을 구현하는 것입니다.
참조:
CompTIA Security+ 학습 가이드
Akamai Technologies의 "CDN: 콘텐츠 전송 네트워크 설명"
NIST SP 800-44, "공용 웹 서버 보안 지침"

단계별 설명:
런타임 애플리케이션 자가 보호(RASP)는 공격 발생 시 이를 탐지하고 차단하여 애플리케이션을 실시간으로 모니터링하고 보호합니다. 기존 보안 솔루션과 달리 RASP는 애플리케이션 자체에 통합되어 있어 사용하는 프로그래밍 언어에 관계없이 작동합니다. SQL 인젝션, XSS, 버퍼 오버플로우와 같은 일반적인 취약점을 효과적으로 완화합니다.
동적 애플리케이션 보안 테스트(DAST)(C)는 실시간으로 공격을 차단하지 못할 수 있는 수동적 스캐닝 접근 방식인 반면, 네트워크 침입 방지 시스템(NIPS)(D)은 애플리케이션 계층 보안이 아닌 네트워크 트래픽에 초점을 맞춥니다.