브라우저 보안 설정과 확장 기능

웹 브라우저는 가장 많이 사용되는 애플리케이션이자 가장 많은 공격을 받는 대상 중 하나입니다. 브라우저는 신뢰할 수 없는 출처(웹사이트)의 코드를 실행하고, 민감한 데이터를 처리하며, 사용자의 자격 증명과 세션에 직접 접근합니다.

브라우저 공급업체는 보안 패치를 자주 배포합니다. 오래된 브라우저는 방문만으로 발생하는 다운로드와 샌드박스 탈출을 비롯한 알려진 공격에 취약할 수 있습니다. 자동 업데이트를 활성화하고 브라우저 업데이트를 절대 미루지 마십시오.

최신 브라우저는 HTTPS 전용 모드(또는 HTTPS 업그레이드)를 지원합니다. 이 모드를 활성화하면 브라우저가 HTTP 사이트에 연결하지 않고, 사이트를 불러오기 전에 사용자에게 확인을 요청합니다. 이를 통해 평문 연결로 민감한 데이터가 실수로 전송되는 것을 방지합니다.

브라우저의 인증서 경고를 절대 무시하지 마십시오. 유효하지 않거나 일치하지 않는 인증서는 다음을 나타낼 수 있습니다:

• 만료되었거나 폐기된 인증서
• 자체 서명된 인증서(중간자 공격 가능성)
• 도메인 불일치(잘못된 사이트 또는 피싱 사이트 방문)

안전하다고 알고 있는 내부 시스템을 검사하는 경우에만 우회하십시오.

구성해야 할 주요 브라우저 설정:

• 피싱 및 악성 코드 보호 활성화
• 타사 쿠키 차단
• 세이프 브라우징(Chrome) / 향상된 추적 방지(Firefox) 활성화
• 브라우저에 비밀번호 저장 기능 비활성화(전용 관리 도구 사용)
• 웹사이트에 불필요한 권한(카메라, 마이크, 위치) 부여 기능 비활성화

권장 브라우저 확장 기능:

• uBlock Origin — 광고와 악성 도메인 차단
• Privacy Badger — 보이지 않는 추적기 차단
• HTTPS Everywhere(현재는 대부분의 브라우저에 내장됨)
• Bitwarden — 비밀번호 관리 도구

확장 기능이 적을수록 공격 표면이 작아집니다. 신뢰할 수 있고 평가가 좋은 확장 기능만 설치하십시오.

브라우저 확장 기능은 웹페이지에 폭넓게 접근할 수 있으며 다음과 같은 작업을 할 수 있습니다:

• 모든 트래픽과 양식 제출 내용 읽기
• 사용자가 입력하는 비밀번호 탈취
• 페이지에 악성 코드 삽입

악성 확장 기능은 종종 정상적인 것처럼 보입니다. 권한을 신중하게 검토하고 사용하지 않는 확장 기능은 권한을 철회하십시오.

최신 브라우저는 각 탭과 확장 기능을 별도의 프로세스에서 샌드박스로 실행하여 침해된 웹 콘텐츠로 인한 피해를 제한합니다. 렌더러 프로세스의 버그가 브라우저 전체를 손상시키거나 OS로 탈출해서는 안 되지만, 고급 공격에서는 샌드박스 탈출이 실제로 발생하기도 합니다.

사이트 격리(Chrome, Firefox)는 각 출처를 별도의 프로세스에서 실행합니다. 이를 통해 한 사이트의 악성 JavaScript가 다른 사이트 프로세스의 메모리에 접근하지 못하게 하여 Spectre 계열 CPU 취약점과 사이트 간 데이터 탈취를 완화합니다.

JavaScript는 대부분의 최신 웹 기능을 가능하게 하지만 대부분의 웹 공격(XSS, 방문만으로 발생하는 다운로드)의 원인이기도 합니다. Flash와 같은 플러그인(지원 종료됨)은 주요 공격 경로였습니다. NoScript 방식 도구는 기본적으로 JavaScript를 차단합니다. 극단적인 방법이지만 높은 보안이 필요한 환경에서는 강력합니다.

활동별로 별도의 브라우저 프로필이나 브라우저를 사용하면 격리 수준을 높일 수 있습니다:

• 업무 프로필: 기업 사이트, 은행
• 개인 프로필: 소셜 미디어
• 조사 프로필: 알 수 없거나 의심스러운 사이트 방문

한 프로필이 침해되어도 다른 프로필에는 영향을 주지 않습니다.

설정 없이 악성 도메인과 광고를 차단하는 데 널리 권장되는 브라우저 확장 프로그램은 무엇입니까?

브라우저는 주요 공격 표면입니다. 브라우저를 최신 상태로 유지하고, HTTPS 전용 모드를 활성화하며, 개인 정보 보호 설정을 구성하십시오. uBlock 오리진과 같은 신뢰할 수 있는 확장 프로그램을 사용하십시오. 확장 프로그램에는 페이지에 대한 광범위한 접근 권한이 있다는 점에 유의하십시오. 브라우저 샌드박싱과 사이트 격리는 웹 기반 공격으로 인한 피해를 제한합니다.