한빛미디어

"한빛미디어 서평단 <나는리뷰어다> 활동을 위해서 책을 협찬받아 작성된 서평입니다."

대학생 때 어느 선배가 “신기한 거 하나 보여준다”며 어떤 홈페이지에 접속하더니, 게시판의 아이디 칸에 임의의 아이디를 입력하고 비밀번호 칸에는 단순히 하이픈 두 개 -- 만 입력하자마자 로그인되어 버리는 모습을 보여준 적이 있습니다. 

당시에는 그저 신기하고 요상한 버그처럼 보였는데, 그 선배는 나중에 웹마스터에게 취약점을 알려주는 것을 취미 삼아 하는 ‘화이트해커’가 되었고, 단순한 취약점으로부터 시작해 점차 더 고도화된 공격 기법을 공부하게 되었다고 합니다. 요즘은 그렇게 단순한 일로 계정 탈취가 일어나진 않지만, 그만큼 공격 기법도 정교해지고 다층적이라는 점을 실감하게 합니다.

“최선의 방어는 공격”이라는 말은 IT뿐 아니라 어디서든 통용되는 경구처럼 들립니다. 공격과 방어는 서로 완전히 분리된 영역이 아니라, 서로를 알아야만 제대로 맞설 수 있는 한 쌍이라는 생각이 듭니다. 손바닥도 서로 마주쳐야 소리가 나듯, 해커의 시각을 모르고서는 실효성 있는 방어를 설계하기 어렵습니다. 그래서 보안을 공부한다는 것은 곧 해킹 기법을 이해한다는 말과 동의어일 때가 많고, 반대로 해킹을 배우는 과정 자체가 곧 안전한 시스템 설계로 이어지기도 합니다. 공격자의 사고방식을 이해하면 어떤 정책이 왜 필요한지, 어떤 설정이 취약점을 만드는지를 더 명확히 파악할 수 있으니까요.

이 책은 그런 맥락에서 초심자와 실무자 모두에게 유용한 ‘교과서적이면서도 실무적인’ 지침을 많이 담고 있습니다. 특히 구글해킹(특정 키워드와 검색 연산자를 이용해 취약한 정보나 환경을 탐지하는 기법)에 대한 다양한 검색법을 도우미처럼 정리해 두어, 단순히 이론을 읽는 것을 넘어서 실제로 어떤 검색식을 써야 유의미한 정보를 얻을 수 있는지 단계별로 따라 해볼 수 있게 만든 점이 인상적입니다. 구글이라는 공용 자원을 통해 의도치 않게 노출된 정보들을 찾아내고, 이를 통해 서비스 보안의 빈틈을 점검하는 흐름을 잘 설명하고 있습니다.

또한 여러 도구들을 폭넓게 소개하는데, 단순히 nmap 같은 유명 툴만 언급하는 데 그치지 않고, theHarvester 같은 전문적인 정보 수집 도구까지 자세히 다뤄서 실전 탐지 능력을 키우기 좋습니다. 각 도구의 설치법, 기본 사용법, 옵션별 효과, 실제 시나리오에서의 활용 예시까지 단계적으로 제시되어 있어 따라 하기 편합니다. 도구별 특징을 비교하면서 어떤 상황에 어떤 툴이 적합한지 판단할 수 있도록 구성된 점도 큰 장점입니다.

이 책이 특히 빛나는 부분은 ‘원리’에 대한 설명입니다. 많은 보안 입문자들이 매뉴얼대로 정책을 적용하긴 하지만, 그 정책이 왜 그렇게 작동하는지, 어떤 원리로 공격을 차단하거나 우회할 수 있는지를 잘 이해하지 못하는 경우가 많습니다. 이 책은 그런 사람들에게 정확한 원리와 배경 지식을 체계적으로 제공하여, 기존에 적용해놓은 보안 설정을 단순한 체크리스트가 아니라 ‘왜 이 설정이 필요한지’ 아는 상태로 바꿔 줍니다. 결과적으로 보안 정책을 더 합리적으로 설계하고, 필요할 때는 맞춤형으로 조정할 수 있는 통찰을 제공합니다.

다만 아쉬운 점도 하나 있습니다. 책이 다루는 대상 환경이 Tomcat + Java + MySQL이라는, 전통적이고 보편적인 스택에 치중되어 있어 모던 웹 환경 — 예를 들어 Python 기반 프레임워크, Node.js, 그리고 NoSQL DB(예: MongoDB, Redis 등)에서의 보안 이슈나 실전 사례까지 폭넓게 다루었다면 더 실무에 직접적으로 도움이 되었을 것 같습니다. 현대 웹 개발에서 파이썬과 Node.js, NoSQL을 쓰는 경우가 많은 만큼, 그쪽 환경에서 흔히 발생하는 취약점 패턴과 대응법이 추가되었다면 초심자뿐 아니라 현업 개발자들에게도 더 큰 가치를 제공했을 것 같습니다.

종합적으로 보면, 웹과 조금이라도 관련이 있는 사람이라면 반드시 한 번쯤 읽어볼 만한 책입니다. 기본 개념부터 실전 도구 사용법, 취약점 원리까지 폭넓게 다루고 있어서 보안에 대한 시야를 넓히고 싶은 입문자나 실무 초년생에게 특히 유용합니다. 단, 모던 스택의 사례를 더 바란다면 보완적으로 최신 환경을 다룬 자료나 공식 문서를 함께 병행해 읽으면 좋습니다. 웹을 다루는 모든 사람에게 자신 있게 추천합니다.