OWASP
더 많은 작업
- Open Worldwide Application Security Project; OWASP
- 소프트웨어 보안을 높이기 위해 문서, 표준, 도구를 공개 프로젝트로 만드는 비영리 재단과 그 공동체
OWASP(Open Worldwide Application Security Project)는 소프트웨어, 특히 웹 애플리케이션의 보안을 높이는 것을 목표로 하는 비영리 재단이자 공동체다. 예전 이름은 Open Web Application Security Project였다. 가장 잘 알려진 결과물은 몇 년마다 웹 애플리케이션의 주요 보안 위험을 발표하는 OWASP Top 10으로, 2003년 처음 나온 것으로 알려져 있으며 현행판은 2025년판이다.
마크 커피(Mark Curphey)가 시작한 것으로 알려져 있다. 공식 소개에 따르면 OWASP는 2001년 12월 1일 시작된 공개 프로젝트이고, 2004년 4월 21일 미국의 비영리 법인 OWASP Foundation, Inc.로 설립되었으며 미국 세법상 501(c)(3) 비영리 단체다. 전 세계 250개가 넘는 지부(chapter)와 275개가 넘는 활성 프로젝트가 있다.[1] 핵심 가치로 개방(재정부터 코드까지 철저한 투명성), 혁신, 세계성(누구나 참여), 무결성(특정 업체에 치우치지 않음)을 든다.[1] 모든 프로젝트 결과물은 누구나 무료로 쓸 수 있다.
OWASP 활동의 중심은 개별 프로젝트다. 프로젝트는 문서, 표준, 도구, 코드 등으로 나뉘고 성숙도에 따라 등급이 매겨진다. 막 시작한 프로젝트는 인큐베이터(Incubator), 가장 높은 등급은 플래그십(Flagship)이며, 재단은 플래그십 승격이 드물고 기준이 매우 높다고 설명한다.[2]
등급은 각 프로젝트의 OWASP 프로젝트 페이지 메타데이터 기준이다(2026년 10월 확인).
| 프로젝트 | 종류 | 등급 | 내용 |
|---|---|---|---|
| OWASP Top 10 | 문서 | 플래그십 | 웹 애플리케이션의 가장 중요한 보안 위험 10가지. 현행판은 2025년판이고, 2021년판과 2017년판은 이전 판이다[3] |
| ASVS(Application Security Verification Standard) | 표준 | 플래그십 | 웹 애플리케이션 보안 검증 요구 사항 표준 |
| OWASP SAMM | 문서 | 플래그십 | 소프트웨어 보증 성숙도 모델. 5개 비즈니스 기능과 15개 보안 실무 |
| WSTG(Web Security Testing Guide) | 문서 | 플래그십 | 웹 애플리케이션 보안 시험 방법 |
| Cheat Sheet Series | 문서 | 플래그십 | 주제별 보안 구현 요약 안내서 |
| Mobile Application Security(MASVS, MASTG) | 문서 | 플래그십 | 모바일 앱 보안 검증 표준과 시험 안내서 |
| API Security Top 10 | 문서 | 플래그십 아님 | API 고유 보안 위험 10가지(현행 2023년판) |
| CycloneDX | 표준 | 플래그십 | 소프트웨어 자재 명세서(SBOM) 등 BOM 규격. Ecma 국제 표준 ECMA-424 |
| Dependency-Check | 도구 | 플래그십 | 프로젝트 의존성의 알려진 취약점을 찾는 소프트웨어 구성 분석 도구 |
| Dependency-Track | 도구 | 플래그십 | SBOM을 받아 구성 요소 위험을 계속 추적하는 플랫폼 |
| Juice Shop | 도구 | 플래그십 | 보안 교육용으로 일부러 취약하게 만든 웹 애플리케이션 |
| DefectDojo | 도구 | 플래그십 | 취약점 관리 플랫폼 |
| CRS(Core Rule Set) | 코드 | 플래그십 | ModSecurity 등 웹 방화벽용 범용 탐지 규칙 모음 |
| Amass | 도구 | 플래그십 | 공격 표면 매핑과 자산 발견 도구 |
ZAP(Zed Attack Proxy)은 오랫동안 OWASP의 대표 도구였으나 2023년 8월 1일 리눅스 재단의 새 조직인 Software Security Project에 창립 프로젝트로 합류하며 OWASP를 떠났고, 이름도 "OWASP ZAP"에서 "ZAP"으로 바꿨다. 당시 개발자는 한 프로젝트가 두 재단에 속할 수 없고 OWASP가 제공할 수 있는 것보다 많은 투자가 필요하다는 점을 이유로 들었다. 현재 ZAP 공식 블로그는 ZAP이 Checkmarx의 지원을 받으며 어느 재단에도 속하지 않는다고 안내한다.[4]
| 프로젝트·목록 | 등급·상태 | 내용 |
|---|---|---|
| OWASP GenAI Security Project | 플래그십(2025-03 승격) | 2023년 LLM Top 10을 만든 프로젝트가 생성형 AI 보안 전반으로 넓어진 것. 승격 당시 18개국 이상에서 600명이 넘는 기여 전문가가 참여했다고 밝혔다[2] |
| OWASP Top 10 for LLM Applications | GenAI Security Project의 이니셔티브 | LLM 애플리케이션의 10대 위험. 2023 v1.0·v1.1, 2025, 2026년판. 2025년판은 공식 한국어판(「LLM 애플리케이션을 위한 OWASP Top 10」)이 있다 |
| OWASP Top 10 for Agentic Applications | GenAI Security Project | AI 에이전트의 10대 위험(ASI01~ASI10), 2025-12-09 발표 |
| GenAI Data Security(DSGAI) | GenAI Security Project | 생성형 AI 데이터 보안 위험과 완화책, 2026 v1.0(2026-03-17) |
| Machine Learning Security Top 10 | 인큐베이터, 2023 초안 | 일반 머신러닝 시스템의 10대 보안 위험(입력 조작, 데이터 중독, 모델 인버전, 멤버십 추론, 모델 탈취 등). 프로젝트 페이지는 초안이 자주 바뀌고 있다고 밝힌다[5] |
2026년 9월 GenAI Security Project는 2026년판 LLM Top 10 발표와 함께 에이전트 런타임 통제 규격인 Agent Control Standard(ACS)를 기증받았다고 발표했다.[6] AI 보안 전반은 AI 보안 문서 참고.
- ↑ 1.0 1.1 About the OWASP Foundation, OWASP.
- ↑ 2.0 2.1 Project OWASP Promotes GenAI Security Project to Flagship Status, OWASP GenAI Security Project, 2025-03-26. OWASP 재단 이사 앤드루 반 데어 스톡의 말.
- ↑ OWASP/Top10, GitHub. "OWASP Top 10 2025 - RELEASED", "OWASP Top 10 2021 - SUPERSEDED".
- ↑ ZAP is Joining the Software Security Project, ZAP 블로그, 2023-08-01.
- ↑ OWASP Machine Learning Security Top Ten, OWASP.
- ↑ OWASP GenAI Security Project Unveils 2026 Top 10 for LLM Applications, OWASP GenAI Security Project, 2026-09-01.