1. 전송 중 암호화 (Encryption in Transit)

데이터가 네트워크를 통해 이동할 때 보호하는 방법이야. 가장 대표적인 게 HTTPS(TLS/SSL)지. 요즘은 HTTP로 서비스하면 브라우저에서 "안전하지 않음"이라고 경고를 띄우잖아? 그만큼 필수가 됐어.

구현 방법:

// Node.js Express 예시
const https = require('https');
const fs = require('fs');
const express = require('express');

const app = express();

const options = {
  key: fs.readFileSync('private-key.pem'),
  cert: fs.readFileSync('certificate.pem')
};

https.createServer(options, app).listen(443);

💡 팁: Let's Encrypt를 사용하면 무료로 SSL 인증서를 발급받을 수 있어. 자동 갱신도 가능하니까 꼭 활용해봐!

2. 저장 중 암호화 (Encryption at Rest)

데이터베이스나 파일 시스템에 저장된 데이터를 암호화하는 거야. 만약 서버가 해킹당하거나 물리적으로 탈취당해도 데이터를 읽을 수 없게 만드는 거지.

데이터베이스 암호화 예시:

// Python + SQLAlchemy + cryptography
from cryptography.fernet import Fernet
import base64

class EncryptedField:
    def __init__(self, key):
        self.cipher = Fernet(key)
    
    def encrypt(self, data):
        return self.cipher.encrypt(data.encode()).decode()
    
    def decrypt(self, encrypted_data):
        return self.cipher.decrypt(encrypted_data.encode()).decode()

# 사용 예시
key = Fernet.generate_key()
encryptor = EncryptedField(key)

# 개인정보 암호화
encrypted_email = encryptor.encrypt("user@example.com")
# DB에 저장...

# 복호화
original_email = encryptor.decrypt(encrypted_email)

🎯 실무 팁: 민감한 정보(주민등록번호, 신용카드 번호, 비밀번호 등)는 반드시 암호화해서 저장해야 해. 특히 비밀번호는 단방향 해시(bcrypt, Argon2 등)를 사용하는 게 베스트야!

1. API Key

가장 간단한 방법이지만, 보안 수준은 낮아. 공개 API나 내부 서비스 간 통신에 적합해.

// API Key 검증 미들웨어
function validateApiKey(req, res, next) {
  const apiKey = req.header('X-API-Key');
  
  if (!apiKey) {
    return res.status(401).json({ error: 'API key required' });
  }
  
  // DB에서 API 키 검증
  const isValid = await verifyApiKey(apiKey);
  
  if (!isValid) {
    return res.status(403).json({ error: 'Invalid API key' });
  }
  
  next();
}

⚠️ 주의: API Key는 URL에 포함시키지 말고, 헤더에 넣어야 해. 로그에 남을 수 있거든!

2. JWT (JSON Web Token)

가장 널리 사용되는 방식이야. Stateless하고 확장성이 좋아서 마이크로서비스 아키텍처에 적합해.

// JWT 생성 및 검증
const jwt = require('jsonwebtoken');

// 토큰 생성
function generateToken(user) {
  const payload = {
    userId: user.id,
    username: user.username,
    role: user.role
  };
  
  return jwt.sign(payload, process.env.JWT_SECRET, {
    expiresIn: '1h',
    issuer: 'your-app-name',
    audience: 'your-api'
  });
}

// 토큰 검증 미들웨어
function authenticateToken(req, res, next) {
  const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1];
  
  if (!token) {
    return res.status(401).json({ error: 'Token required' });
  }
  
  jwt.verify(token, process.env.JWT_SECRET, (err, user) => {
    if (err) {
      return res.status(403).json({ error: 'Invalid token' });
    }
    
    req.user = user;
    next();
  });
}

💡 베스트 프랙티스:
• Access Token은 짧게(15분~1시간), Refresh Token은 길게(7일~30일) 설정
• Refresh Token은 안전한 곳에 저장(HttpOnly 쿠키 추천)
• 토큰 블랙리스트를 구현해서 로그아웃 시 무효화
• 민감한 정보는 토큰에 넣지 말 것!

3. OAuth 2.0

제3자 인증이 필요할 때 사용해. "Google로 로그인", "Facebook으로 로그인" 같은 거 있잖아?

// Passport.js를 사용한 OAuth 구현
const passport = require('passport');
const GoogleStrategy = require('passport-google-oauth20').Strategy;

passport.use(new GoogleStrategy({
    clientID: process.env.GOOGLE_CLIENT_ID,
    clientSecret: process.env.GOOGLE_CLIENT_SECRET,
    callbackURL: "/auth/google/callback"
  },
  async (accessToken, refreshToken, profile, done) => {
    // 사용자 정보 처리
    const user = await findOrCreateUser(profile);
    return done(null, user);
  }
));

// 라우트
app.get('/auth/google',
  passport.authenticate('google', { scope: ['profile', 'email'] })
);

app.get('/auth/google/callback',
  passport.authenticate('google', { failureRedirect: '/login' }),
  (req, res) => {
    res.redirect('/dashboard');
  }
);

1. 최소 권한 원칙 적용

-- 애플리케이션용 계정 생성 (읽기/쓰기만 가능)
CREATE USER 'app_user'@'localhost' IDENTIFIED BY 'strong_password';
GRANT SELECT, INSERT, UPDATE ON mydb.* TO 'app_user'@'localhost';

-- 읽기 전용 계정 (분석용)
CREATE USER 'readonly_user'@'localhost' IDENTIFIED BY 'another_password';
GRANT SELECT ON mydb.* TO 'readonly_user'@'localhost';

-- 백업용 계정
CREATE USER 'backup_user'@'localhost' IDENTIFIED BY 'backup_password';
GRANT SELECT, LOCK TABLES ON mydb.* TO 'backup_user'@'localhost';

2. 네트워크 격리
데이터베이스는 외부에서 직접 접근할 수 없도록 프라이빗 네트워크에 배치해. 애플리케이션 서버만 접근 가능하게 만들어야 해.

3. 연결 암호화
데이터베이스 연결도 TLS/SSL로 암호화해야 해. 특히 클라우드 환경에서는 필수야!

// MySQL 연결 시 SSL 사용
const connection = mysql.createConnection({
  host: 'localhost',
  user: 'app_user',
  password: 'strong_password',
  database: 'mydb',
  ssl: {
    ca: fs.readFileSync('ca-cert.pem'),
    cert: fs.readFileSync('client-cert.pem'),
    key: fs.readFileSync('client-key.pem')
  }
});

4. 정기적인 백업
랜섬웨어 공격이나 실수로 데이터가 손실될 수 있어. 자동화된 백업 시스템을 구축하고, 복구 테스트도 정기적으로 해야 해! 💾

1. IAM (Identity and Access Management) 제대로 설정하기

// IAM 정책 예시 - S3 버킷 특정 폴더만 접근
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:PutObject"
      ],
      "Resource": "arn:aws:s3:::my-bucket/user-uploads/${aws:username}/*"
    }
  ]
}

✅ 체크리스트:
• 루트 계정은 절대 사용하지 말 것
• MFA(다단계 인증) 필수 활성화
• 최소 권한 원칙 적용
• 정기적인 권한 검토
• Access Key는 코드에 하드코딩하지 말 것!

2. VPC (Virtual Private Cloud) 설정

• 퍼블릭 서브넷과 프라이빗 서브넷 분리
• 데이터베이스는 프라이빗 서브넷에 배치
• Security Group으로 방화벽 규칙 설정
• Network ACL로 추가 보안 계층 구성

3. 데이터 암호화

// S3 버킷 암호화 설정
aws s3api put-bucket-encryption \
  --bucket my-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "ApplyServerSideEncryptionByDefault": {
        "SSEAlgorithm": "aws:kms",
        "KMSMasterKeyID": "arn:aws:kms:region:account:key/key-id"
      }
    }]
  }'

// RDS 암호화 활성화
aws rds create-db-instance \
  --db-instance-identifier mydb \
  --storage-encrypted \
  --kms-key-id arn:aws:kms:region:account:key/key-id

4. 로깅 및 모니터링

• CloudTrail: 모든 API 호출 기록
• CloudWatch: 메트릭 및 로그 모니터링
• GuardDuty: 위협 탐지
• Config: 리소스 구성 변경 추적

정적 분석 도구 (SAST):

• SonarQube: 코드 품질 및 보안 취약점 분석
• ESLint Security Plugin: JavaScript 보안 이슈 탐지
• Bandit: Python 코드 보안 분석
• Brakeman: Ruby on Rails 보안 스캐너

// package.json에 보안 스크립트 추가
{
  "scripts": {
    "security-check": "npm audit && snyk test",
    "lint:security": "eslint . --ext .js --plugin security"
  }
}

동적 분석 도구 (DAST):

• OWASP ZAP: 무료 웹 애플리케이션 보안 스캐너
• Burp Suite: 프로페셔널 침투 테스트 도구
• Nikto: 웹 서버 취약점 스캐너

의존성 검사:

• npm audit: Node.js 패키지 취약점 검사
• Snyk: 오픈소스 의존성 보안 관리
• Dependabot: GitHub의 자동 의존성 업데이트

// GitHub Actions로 자동 보안 검사
name: Security Scan

on: [push, pull_request]

jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v2
      
      - name: Run npm audit
        run: npm audit --audit-level=moderate
      
      - name: Run Snyk
        uses: snyk/actions/node@master
        env:
          SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}
      
      - name: OWASP ZAP Scan
        uses: zaproxy/action-baseline@v0.4.0
        with:
          target: 'https://your-app.com'