Ruby on Rails 보안 — 프로덕션 하드닝 실무 레퍼런스

대상: Ruby on Rails로 앱을 운영하는 사람. 여기서는 공격 절차를 다루지 않고, 프로덕션을 굳히기 위한 실무 레퍼런스(우선순위 체크리스트·영역별 대책·자기 검증)를 제시합니다. 프레임워크 전체의 관점은 프레임워크별 보안의 입구도 참조하세요.

우선순위 하드닝 체크리스트

먼저 이 표를 위에서부터 실시합니다. P0은 전제, P1이 가장 빈번한 사고원, P2는 지속적인 운영 위생입니다.

1. 비밀과 credentials (P0)

• Rails의 암호화 credentials를 사용하고, master key(복호화 키)를 리포지토리에 커밋하지 않습니다(환경 변수 등으로 주입).
• **secret_key_base**는 서명/암호화 Cookie와 세션의 토대입니다. 누출되면 신속히 로테이션합니다(기존의 서명/암호화가 무효화되는 점에 주의).
• .env나 덤프·백업을 공개 디렉터리에 두지 않습니다(→ 공개 디렉터리에 비밀을 두지 않기).

2. 프로덕션 설정 (P0)

• 프로덕션에서는 예외의 상세를 외부에 노출하지 않습니다(consider_all_requests_local을 프로덕션에서 활성화하지 않기 등). 내부 구조의 노출을 줄입니다.
• **config.force_ssl**로 HTTPS를 강제하고, Cookie를 secure로 표시합니다. 개발용 web console 등을 프로덕션에서 활성화하지 않습니다.
• 로그에 비밀이 남지 않도록 **filter_parameters**로 비밀번호 등을 필터링합니다.

3. 의존성(gem)의 CVE (P0)

• bundler-audit나 osv-scanner로 gem의 알려진 CVE를 기계 모니터링하고, 실가동 버전(Gemfile.lock)으로 판정해 즉시 패치합니다(→ 의존성 CVE 모니터링 · 취약점 대응 실무).
• Rails와 Ruby를 지원 대상 버전으로 유지하고, EOL 버전을 방치하지 않습니다.

4. Strong Parameters와 Mass Assignment (P1)

• permit하는 항목을 필요 최소한으로 하고, permit!(전부 허용)를 피합니다.
• is_admin 같은 권한 필드를 사용자 입력에서 대입시키지 않습니다. "번거로우니 넓게 허용"을 그만둡니다.

5. 인가 (P1 — 가장 빈번한 사고원)

용어는 IDOR란. 인증과 인가는 별개이며, 인가는 데이터에 가까운 곳에서 확인합니다.

6. 인젝션과 위험한 동적 메서드 (P2)

• SQL: where는 플레이스홀더로 바인드하고, 문자열 결합으로 쿼리를 만들지 않습니다(where("... #{params}")를 피함)(→ SQL 인젝션이란).
• 위험한 동적 메서드: send/public_send/constantize에 사용자 입력을 넘기지 않습니다. 넘겨야 한다면 허용 리스트로 엄격히 한정합니다.
• 역직렬화: 신뢰할 수 없는 YAML/Marshal의 로드는 조건에 따라 코드 실행으로 이어질 수 있으므로 피합니다.

7. 세션·Cookie·CSRF (P2)

• **CSRF 보호(protect_from_forgery)**를 전체 비활성화하지 않습니다. 폼의 토큰을 살립니다(→ CSRF란).
• Cookie/세션에 secure/httponly/samesite를 설정하고, 로그인 시 세션을 재생성합니다.

8. SSRF·업로드·헤더 (P2)

• 서버가 사용자 지정 URL을 취득하는 처리는 허용 리스트로 대상을 한정하고, 내부 IP/메타데이터로의 도달을 차단합니다(→ SSRF란).
• 업로드는 종류·크기를 검증하고, public/ 밖에 저장해 실행 권한을 주지 않습니다.
• 보안 헤더를 부여합니다(본 사이트는 보안 헤더 진단으로 확인).

검증: 내 Rails는 정말 굳혀졌는가

만들면 끝이 아니라, 점검해야 비로소 완료입니다. 다음은 자신의 환경에 대한 방어적 자기 점검입니다.

다음으로 읽기

• 입구: 프레임워크별 보안(입구) · Laravel 보안(같은 MVC·인가의 형태가 가깝다)
• 실무: 취약점 대응 실무 · 의존성 CVE 모니터링 · 공개 디렉터리에 비밀을 두지 않기
• 용어: IDOR란 · SQL 인젝션 · CSRF · SSRF
• 도구: 보안 헤더 진단